BalaBit
syslog-ng Store Box
(SSB) 4 LTS
管理者ガイド Rev. 1.0
2015.5.25
目
次
まえがき ............................................................................................................................................................. 7
1.
本ガイドの構成........................................................................................................................................ 7
2.
このガイドの対象となる読者と、前提となる知識 .......................................................................... 8
3.
対象製品 ................................................................................................................................................... 9
4.
本ガイドの表記........................................................................................................................................ 9
1
イントロダクション................................................................................................................................. 11
2
1.1
SSB とは .........................................................................................................................................................11
1.2
SSB の範囲外 ..............................................................................................................................................12
1.3
SSB が必要な理由 .....................................................................................................................................12
1.4
SSB の想定ユーザ .....................................................................................................................................13
SSB のコンセプト ................................................................................................................................. 14
2.1
SSB の製品思想 ......................................................................................................................................... 14
2.2
SSB でログを収集する..............................................................................................................................15
2.3
受信メッセージと送信メッセージをフローコントロールで管理する........................................... 17
2.3.1
フローコントロールと複数の宛先 ................................................................................................18
2.4
セキュアチャンネルからログを受け取る ............................................................................................19
2.5
ネットワークインターフェイス ................................................................................................................... 20
2.6
SSB でのハイアベイラビリティ(高可用性)サポート .......................................................................20
2.7
SSB のファームウェア ............................................................................................................................... 21
2.7.1
3
2.8
SSB のバージョンとリリース ................................................................................................................... 21
2.9
ライセンス.......................................................................................................................................................22
2.10
ログメッセージの構造 ................................................................................................................................ 22
2.10.1
BSD-syslog あるいは legacy-syslog メッセージ ..................................................................23
2.10.2
IETF-syslog メッセージ ....................................................................................................................25
ウェルカムウィザードと最初のログイン......................................................................................... 29
3.1
SSB への初回ログイン ............................................................................................................................. 29
3.1.1
エイリアス IP アドレスの作成（Microsoft Windows） ............................................................. 30
3.1.2
エイリアス IP アドレスの作成（Linux） ........................................................................................ 33
3.1.3
SSB の IP アドレスの変更 .................................................................................................................. 34
3.2
4
ファームウェアとハイアベイラビリティ........................................................................................21
ウェルカムウィザードで SSB を設定.................................................................................................... 34
SSB の基本的な設定 ......................................................................................................................... 44
4.1
サポートしているブラウザならびに OS...............................................................................................44
4.2
Web インターフェイスの構成 ................................................................................................................... 45
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
1
4.2.1
メインワークスペースの構成要素 ...............................................................................................48
4.2.2
複数のユーザからの Web 経由のアクセスと、排他制御................................................... 50
4.2.3
Web インターフェイスのタイムアウト ...............................................................................................50
4.3
4.3.1
管理インターフェイスの設定 .........................................................................................................52
4.3.2
管理用途のトラフィックを、管理インターフェイスに集約する ........................................... 54
4.4
4.4.1
4.5
日付と時刻の設定 ...................................................................................................................................... 55
NTP サーバーによる時刻同期 .........................................................................................................56
SNMP と E メールアラート ........................................................................................................................ 56
4.5.1
E メールアラートの設定 ....................................................................................................................... 57
4.5.2
SNMP アラートを設定する .................................................................................................................. 58
4.5.3
エージェントを使って SSB のステータス情報を得る............................................................ 60
4.6
SSB のシステム監視設定 ....................................................................................................................... 61
4.6.1
監視の設定.......................................................................................................................................... 63
4.6.2
システムヘルス監視......................................................................................................................... 63
4.6.3
ディスクスペース飽和防止手順...................................................................................................64
4.6.4
メッセージレートアラートの設定 ...................................................................................................64
4.6.5
システム関連のトラップ................................................................................................................... 67
4.6.6
syslog-ng に関するアラート................................................................................................................ 68
4.7
データと設定のバックアップ .................................................................................................................... 69
4.7.1
バックアップのポリシーを定義 .....................................................................................................69
4.7.2
設定情報のバックアップを作成 ...................................................................................................72
4.7.3
データのバックアップを作成.......................................................................................................... 72
4.7.4
設定情報を GPG で暗号化してバックアップ...........................................................................73
4.8
アーカイブとクリーンナップ ...................................................................................................................... 74
4.8.1
アーカイブポリシーの作成 ............................................................................................................. 74
4.8.2
収集したデータをアーカイブする.................................................................................................76
4.9
5
ネットワーク設定..........................................................................................................................................50
バックアップとアーカイブプロトコルのパラメータ ............................................................................77
4.9.1
Rsync over SSH の設定...................................................................................................................... 77
4.9.2
SMB の設定 ............................................................................................................................................. 79
4.9.3
NFS の設定 ..............................................................................................................................................81
4.9.4
バックアップファイルの所有権 .....................................................................................................83
ユーザ管理とアクセス制御 ............................................................................................................... 84
5.1
SSB ユーザをローカル環境で管理する............................................................................................. 84
5.2
ローカルユーザのパスワードポリシーを設定する .........................................................................85
5.3
ローカルユーザグループを管理する...................................................................................................87
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
2
5.4
LDAP データベースによる SSB ユーザの管理 ...............................................................................88
5.5
RADIUS サーバーでユーザ認証する..................................................................................................92
5.6
ユーザ権限とユーザグループを管理する.........................................................................................94
5.6.1
グループの権限を編集する .......................................................................................................... 95
5.6.2
SSB インターフェイスの、新たなユーザグループを作成する ............................................... 96
5.6.3
特定のユーザグループを検索する ............................................................................................96
5.6.4
ユーザグループを使う ..................................................................................................................... 97
5.6.5
SSB 組込みのユーザグループ......................................................................................................... 98
5.7
6
設定に対する変更を一覧化し、検索する..........................................................................................99
SSB の管理 ......................................................................................................................................... 101
6.1
SSB の制御－再起動、シャットダウン ............................................................................................. 101
6.2
SSB ハイアベイラビリティのクラスターを管理する ..................................................................... 102
6.2.1
DRBD の同期速度の調整 ............................................................................................................... 105
6.2.2
非同期のデータ複写 ..................................................................................................................... 106
6.2.3
冗長化ハートビートインターフェイスの設定......................................................................... 106
6.2.4
ネクストホップルータの監視設定 ............................................................................................. 109
6.3
SSB のアップグレード............................................................................................................................. 111
6.3.1
アップグレードのチェックリスト .................................................................................................. 112
6.3.2
SSB（シングルノード）のアップグレード....................................................................................... 112
6.3.3
SSB クラスターのアップグレード ................................................................................................... 114
6.3.4
トラブルシューティング ................................................................................................................. 114
6.3.5
古いファームウェア版への戻し方 ............................................................................................ 115
6.3.6
SSB ライセンスのアップデート ....................................................................................................... 116
6.3.7
SSB のコンフィグレーションのエクスポート............................................................................... 117
6.3.8
SSB のコンフィグレーションのインポート ................................................................................... 119
6.4
SSB のコンソールにアクセスする...................................................................................................... 120
6.4.1
SSB のコンソールメニューを使用する ........................................................................................ 120
6.4.2
SSB ホストへの SSH によるアクセスを可能にする ............................................................... 122
6.4.3
root ユーザのパスワードを変更する .......................................................................................... 123
6.5
6.5.1
シールドモード ........................................................................................................................................... 124
シールドモードを無効にする ...................................................................................................... 125
6.6
SSB のアウトオブバンド管理............................................................................................................... 125
6.7
SSB に適用されている証明書を管理する ..................................................................................... 126
6.7.1
SSB の証明書を生成する ............................................................................................................... 128
6.7.2
外部認証による証明書をアップロードする .......................................................................... 129
6.7.3
Windows 認証局を用いて TSA 証明書を生成 ......................................................................... 131
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
3
6.8
7
8
6.8.1
ホストリストを作成する ................................................................................................................. 138
6.8.2
ファイルからホストリストをインポートする ............................................................................. 139
メッセージソースの設定 ................................................................................................................... 141
7.1
SSB のデフォルトのメッセージソース............................................................................................... 141
7.2
SNMP メッセージの受信........................................................................................................................ 142
7.3
SSB でメッセージソースを作成する .................................................................................................. 143
7.4
SQL メッセージソースの作成 .............................................................................................................. 146
7.4.1
SQL データベースからログを取り出す ....................................................................................... 146
7.4.2
ベーシックモードでメッセージ部分の設定 ............................................................................ 148
7.4.3
アドバンスモードでメッセージ部分を設定............................................................................. 150
7.4.4
手動でフェッチクエリを作成........................................................................................................ 153
SSB にログメッセージを蓄積する ................................................................................................. 155
8.1
SSB のデフォルトログスペース .......................................................................................................... 155
8.2
インデクサ（インデックス付け）を設定する ..................................................................................... 155
8.2.1
8.3
8.3.1
8.4
9
ホストリストポリシーを作成する ......................................................................................................... 138
インデクサの制限 ........................................................................................................................... 156
ログストアを使う........................................................................................................................................ 157
"logcat"コマンドで、暗号化されたログを閲覧する ................................................................ 157
SSB にカスタムメッセージスペースを構築する ............................................................................ 158
8.4.1
新しいログストアを作成する ...................................................................................................... 158
8.4.2
新たなテキスト形式ログスペースを作成する ..................................................................... 162
8.5
ログスペースの管理 ............................................................................................................................... 164
8.6
ネットワーク経由でログファイルにアクセスする .......................................................................... 166
8.6.1
スタンドアロンモードでログファイルを共有する.................................................................. 166
8.6.2
ドメインモードでログファイルを共有する ............................................................................... 168
8.6.3
共有ファイルにアクセスする ...................................................................................................... 171
SSB からログメッセージを転送する ............................................................................................. 173
9.1
SQL データベースにログメッセージを転送する ........................................................................... 173
9.2
SSB の SQL テンプレート ..................................................................................................................... 176
9.2.1
Legacy テンプレート ........................................................................................................................... 176
9.2.2
Full テンプレート................................................................................................................................... 177
9.2.3
Custom テンプレート .......................................................................................................................... 177
9.3
リモートサーバーにログメッセージを転送する ............................................................................. 178
9.4
SNMP サーバーにログメッセージを転送する ............................................................................... 181
10 ログパスを管理する .......................................................................................................................... 183
10.1
SSB のデフォルトのログパス .............................................................................................................. 183
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
4
10.2
新しいログパスを作成する ................................................................................................................... 184
10.3
メッセージのフィルタリング ................................................................................................................... 186
10.3.1
rewrite を使用しメッセージを修正する................................................................................... 187
11 syslog-ng のオプションを設定する ............................................................................................... 190
11.1
syslog-ng の全般的な設定 .................................................................................................................. 190
11.2
SSB におけるタイムスタンプ設定 ...................................................................................................... 191
11.3
SSB における名前解決 ......................................................................................................................... 192
11.4
TLS 暗号化ログ送受信に用いる証明書の設定.......................................................................... 194
12 ログメッセージを閲覧 ....................................................................................................................... 198
12.1
検索インターフェイスを利用................................................................................................................. 198
12.1.1
テーブルの列をカスタマイズする ............................................................................................. 201
12.1.2
収集されたログメッセージに関するメタデータ .................................................................... 202
12.1.3
ワイルドカードとブーリアンを使った検索 .............................................................................. 203
12.2
暗号化されたログスペースを閲覧 .................................................................................................... 208
12.2.1
継続性のある復号鍵を使用 ...................................................................................................... 208
12.2.2
セッションオンリーの復号鍵を使用 ......................................................................................... 210
12.2.3
ログストアに復号鍵を設定 ......................................................................................................... 211
12.3
ログデータからカスタマイズした統計を作成 ................................................................................. 213
12.3.1
ログの統計を表示 .......................................................................................................................... 213
12.3.2
カスタムな統計からレポートを作成 ......................................................................................... 214
13 SSB の内部メッセージを閲覧 ........................................................................................................ 216
13.1
内部検索インターフェイスを使用 ....................................................................................................... 217
13.1.1
フィルタリング ................................................................................................................................... 217
13.1.2
結果をエクスポート ........................................................................................................................ 218
13.1.3
内部検索インターフェイスのカラムをカスタマイズ ............................................................ 218
13.2
SSB のチェンジログ ................................................................................................................................ 219
13.3
syslog-ng ピアの設定変更 ................................................................................................................... 220
13.4
ログメッセージアラート（警報）............................................................................................................. 221
13.5
アーカイブとバックアップの通知 ........................................................................................................ 222
13.6
統計収集のオプション ............................................................................................................................ 222
13.7
レポート ........................................................................................................................................................ 223
13.7.1
デフォルトレポートの内容 ........................................................................................................... 225
13.7.2
カスタムレポートの設定 ............................................................................................................... 225
14 パターンデータベースによるメッセージの分類 ......................................................................... 228
14.1
パターン DB の構造 ................................................................................................................................ 229
14.2
パターンマッチング .................................................................................................................................. 230
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
5
14.3
ルールセットの検索................................................................................................................................. 231
14.4
新たなルールセットとルールを作成 ................................................................................................. 232
14.5
パターン DB 及びルールセットのエクスポート.............................................................................. 233
14.6
パターン DB のインポート ..................................................................................................................... 234
14.7
パターンパーサの使用 .......................................................................................................................... 234
14.8
フィルターとテンプレートで、パーサによる解析結果を利用する........................................... 236
14.9
フィルターとテンプレートで、パターンパーサの値を利用する ................................................ 237
15 SSB の RPC API ................................................................................................................................ 239
15.1
RPC API を使用するための要件 ....................................................................................................... 239
15.2
RPC クライアントの要件 ........................................................................................................................ 239
15.3
RPC API の説明書 .................................................................................................................................. 239
16 SSB のトラブルシューティング ....................................................................................................... 240
16.1
ネットワークのトラブルシューティング .............................................................................................. 240
16.2
システムの問題を解決するためのデータを収集する................................................................ 241
16.3
SSB 関連のログを閲覧 ......................................................................................................................... 242
16.4
エラーレポートのための、ログ及びシステム情報を収集する ................................................ 243
16.5
ステータス履歴と統計 ............................................................................................................................ 245
16.5.1
16.6
syslog-ng 統計情報のカスタム表示 ....................................................................................... 246
SSB クラスターのトラブルシューティング........................................................................................ 247
16.6.1
SSB クラスターのステータスを理解 ........................................................................................ 247
16.6.2
両方のノードがダウンした際の SSB のリカバリー ............................................................ 249
16.6.3
スプリットブレイン状況からのリカバリー ............................................................................... 250
16.6.4
SSB クラスターのノードを交換 .................................................................................................. 252
16.7
SSB の設定情報とデータのリストア ................................................................................................. 254
付録 1
syslog-ng Store Box ハードウェアインストレーションガイド ....................................... 255
付録 1.1
SSB ハードウェアのセットアップ ............................................................................................... 255
付録 1.2
２つの SSB ユニットを HA モードで設定する ....................................................................... 257
付録 2
VMware 環境での syslog-ng Store Box インストレーションガイド ............................ 258
付録 2.1
VMware 環境での SSB の制限................................................................................................. 258
付録 2.2
VMware ESXi/ESX に SSB をインストールする ................................................................. 258
付録 2.3
VMware で仮想ディスクサイズを変更 .................................................................................... 260
用語集 ........................................................................................................................................................... 261
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
6
まえがき
本書では syslog-ng Store Box (SSB) の設定および管理方法について説明します。
また、製品の技術的な背景知識や概要についても紹介します。
1.
本ガイドの構成
本ガイドは以下の章から構成されています。
第1章
イントロダクション
SSB の主な機能と目的について説明します。
第2章
SSB のコンセプト
SSB の技術的な概念及び製品思想について説明します。
第3章
ウェルカムウィザードと最初のログイン
SSB インストール時及びその後の初期設定をステップバイステップで説明します。
第4章
SSB の基本的な設定
SSB の設定と管理について詳しく説明します。
第5章
ユーザ管理とアクセス制御
ユーザアカウントと権限の管理方法を説明します。
第6章
SSB の管理
SSB の基本的な管理タスク、基本的なアプライアンスの制御（例：shutdown や reboot）と
アップグレードについて説明します。
第7章
メッセージソースの設定
すでに組み込まれているメッセージソースの利用、新たなメッセージソースの作成、
SNMP メッセージの受信について説明します。
第8章
メッセージの格納
ログスペースにログメッセージを格納する方法について説明します。
第9章
メッセージの転送
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
7
リモートサーバーなどへのログメッセージの転送方法について説明します。
第10章 ログパスの管理
ログパスの管理について説明します。
第11章 syslog-ng のオプションの設定
syslog-ng Store Box で動作している syslog-ng server のオプション設定について説明し
ます。
第12章 ログメッセージの閲覧
ログの閲覧方法について説明します。
第13章 内部メッセージの閲覧
ＳＳＢｎｏ内部メッセージとレポートの閲覧方法について説明します。
第14章 パターンデータベースによるメッセージのクラス分け
パターンデータベースを用いてメッセージを解析し、クラス分けする方法について説明し
ます。
第15章 SSB RPC API
リモートアプリから SSB のログスペースへアクセスし検索する方法について説明します。
第16章 SSB のトラブルシューティング
SSB のトラブルシューティングとメンテナンスについて説明します。
付録 1
syslog-ng Store Box ハードウェアインストレーションガイド
付録 2
VMware 環境での BalaBit SSB インストレーションガイド
SSB を仮想アプライアンスとしてインストールする方法について説明します。
用語集 このガイドで使用される重要な用語の意味を説明します。
2.
このガイドの対象となる読者と、前提となる知識
このガイドは、監査役、コンサルタント、サーバー管理（特にリモートサーバー管理）プロセスのセ
キュリティ、監査、監視を担当するセキュリティ専門家を対象にしています。また、サーバーのセキ
ュリティと監査能力を向上させるツール、あるいはサーベンス・オクスリー法(Sarbanes-Oxley
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
8
Act(SOX))、医療保険の携行と責任に関する法律(Health Insurance Portability and Accountability
Act(HIPAA))、バーゼルⅡ(Basel II)、Payment Card Industry(PCI)スタンダードの順守を容易にする
ツールを探している情報システム部門担当者にも役立ちます。
SSB 管理者に必要なスキルと知識は以下の通りです。
システム管理の基礎知識
ネットワーク、TCP/IP プロトコル、一般的なネットワーク専門用語の理解
システムログ及びリモートシステムのログ取得に用いられるプロトコルの理解
syslog-ng 及び Windows 向け syslog-ng エージェントの概念の理解
UNIX あるいは Linux OS の知識（必須ではありませんが、あれば大変役に立ちます。）
3.
対象製品
このガイドでは、syslog-ng Store Box version 4 LTS の使用方法について説明します。
注記
SSB のユーザは syslog-ng Premium(有償) Edition アプリケーションを SSB 用のログ収集
エージェントとして使用することができます。このガイドでは syslog-ng Premium Edition の
インストールと設定についてはカバーしていませんので、詳細は syslog-ng Premium
Edition の管理者ガイドをご参照下さい。
4.
本ガイドの表記
本ガイドをお読みいただく前に、この文書で使用される用語とアイコンの意味をご理解ください。
本ガイドで使用される専門用語と略称については用語集をご参照下さい。
次の表記規則を使用します。
ヒント
ヒントでは、ベストプラクティスと推奨を説明します。
注記
注記では、トピックに関する追加情報を提供し、重要事項と考慮すべき事柄を説明しま
す。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
9
警告
警告では、指示に従わない場合にデータの喪失や装置の設定ミスを
引き起こす可能性があることを示します。
標準（例： command）
実行するコマンド
参照項目
ファイル名（/path/to/file）
パラメータや属性名（Parameters）
太字（例： Button）
GUI メッセージやダイアログのラベル
メニューバーのサブメニューやメニュー項目
ダイアログウィンドウのボタン
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
10
1
イントロダクション
この章では、技術仕様ではなく、どのように、そしてなぜ SSB が有益なのかについて説明し、
現在の IT インフラにどのように付加的な効果をもたらすかについて紹介します。
1.1
SSB とは
SSB はログメッセージを収集、処理、保存、監視、そして管理するデバイスです。SSB は
集中ログサーバーアプライアンスで、ネットワークデバイスとコンピューターからシステムの
ログメッセージ（シスログとイベントログ）や Simple Network Management Protocol(SNMP)
メッセージを受信して、それらのメッセージを、信頼できる署名付きのログ保存先（logstore）
に保存します。また、自動的にメッセージのアーカイブとバックアップを行い、ログの異常検出機
能を使ってメッセージをクラス分けします。
SSB の特筆すべき特長は以下のとおりです。
Transport Layer Security(TLS)を使用した安全なログ収集
暗号化され、署名とタイムスタンプが付加された、安全性の高いログ記憶領域
幅広いプラットフォームからログメッセージを収集可能
（Microsoft Windows XP, Server 2003, Vista, Server 2008 に加え、Linux, Unix, BSD, Sun
Solaris, HP-UX, IBM AIX, IBM System i）
ログ解析ツールにメッセージを転送可能
カスタマイズ可能なパターンデータベースを用いてメッセージをクラス分けし、リアルタイ
ムなログ監視、アラート送信及びログの異常検出を実現
ハイアベイラビリティ(HA)構成により、継続的なログ収集に確実に対応（ビジネスに不可
欠な環境）
リアルタイムでのログ監視とアラート送信
Lightweight Directory Access Protocol(LDAP)データベースから管理者のグループメ
ンバーシップを取得
選択されたログメッセージにのみアクセスを許可するよう、厳格な、しかしカスタマイズは
容易に行えるアクセスコントロール設定
SSB は、HTTPS 接続、JavaScript、クッキーに対応する最近の Web ブラウザの大半から設定、
管理できます。サポートされるブラウザは、Mozilla Firefox のバージョン 10 と Microsoft Internet
Explorer のバージョン 8 とバージョン 9 です。その他のテストしたブラウザとしては、Mozilla
Firefox 3.6、Google Chrome 17 です。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
11
1.2
SSB の範囲外
SSB はログ分析エンジンではありません。Unix 業界の一般的なログチェックのアプリケーション
と同様、SSB はログの異常検出機能を使ってそれぞれのログメッセージをクラス分けすることな
らできます。SSB には“通常”とされるログメッセージのパターンのデータベースが内蔵されてい
ます。アプリケーション（例えば sendmail, Postfix, MySQL など）を正しく使用している間、これら
のパターンに合致するメッセージが作成されます。これらのメッセージはログ監視の観点からは
さほど重要ではありませんが、残っているメッセージには“重要な”内容が含まれている場合が
あります。管理者は、SSB のインターフェイス上でログパターンを定義したり、合致するメッセー
ジにラベル（例えば「セキュリティイベント」など）を付けたり、特定のパターンに一致するログを
受信した場合にアラートの送信を要求したりできます。より詳細なログ解析のために、SSB は受
信したログメッセージを外部のログ解析ツールに転送できます。
1.3
SSB が必要な理由
ログメッセージには、ホストで発生しているイベントに関する情報が含まれています。システムイ
ベントの監視は、セキュリティ上、そしてシステムヘルス監視の点で大変重要です。安定したロ
グ管理ソリューションにより、組織・事業体は多くの恩恵を受けます。ログ管理ソリューションに
よって、コンピューターセキュリティの詳細な記録が確実に保存されて、それらのログを簡単に
監視して確認できます。日々ログを確認して継続的に分析することは、セキュリティ事故やポリ
シー違反、その他の運用上の問題を把握するために役立ちます。また、ログは監査やフォレン
ジックの際の分析、製品のトラブルシューティングやサポートの基盤となります。ログメッセージ
をまとめて収集して定期的に確認し、長期間保存することを明示的に定めた法律や規則、業界
基準も複数存在します。例えば、サーベンス・オクスリー法（Sarbanes-Oxley Act (SOX)）やバー
ゼルⅡ（Basel II）、医療保険の携行と責任に関する法律(Health Insurance Portability and
Accountability Act (HIPAA))、クレジットカード業界の安全基準(Payment Card Industry Data
Security Standard (PCI-DSS))などです。
SSB は、世界中で数千の企業で使われ人気を博している syslog-ng のアプリケーションを中心と
して開発された、ログの収集と保存を目的としたアプライアンスです。強力ですが簡単に設定で
きます。最新の syslog-ng Premium Edition の機能を最大限に活用することで、SSB で幅広いプ
ラットフォームとデバイスからログメッセージを収集して処理して保存できます。
すべてのデータを暗号化して電子署名付きで保存することが可能であり、さらにオプションでフ
ァイルにタイムスタンプを付けて、データの改ざんや不正操作を防ぐことが出来ます。また、最
高レベルのセキュリティ基準とポリシーコンプライアンスの要件を満たすことができます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
12
1.4
SSB の想定ユーザ
SSB はログメッセージの収集、保管、確認を必要とする全ての人に有益です。特に SSB は
以下の点で威力を発揮します。
一元的なログ収集とアーカイブ
SSB を使えば、簡単かつ便利で信頼できるログメッセージの収集を一元的に行うことが
できます。SSB は本来、ハイアベイラビリティ(高可用性)に対応できる大容量のログサー
バーです。複数の異なるプラットフォームからログを収集できるので、あらゆる環境に容
易に統合することができます。
安全なログ転送と保存
ログメッセージには取り扱いに注意が必要な情報が含まれていることが多々あり、複数
のアプリケーションにおいて監査トレイルの基盤を成すものです。セキュリティとプライバ
シー上の理由から、メッセージが転送される際に漏洩したり、メッセージがログサーバー
に到達した後に許可なくアクセスされたりするのを防ぐことが不可欠です。
ポリシーコンプライアンス
多くの企業は、サーベンス・オクスリー法（Sarbanes-Oxley Act (SOX)）、バーゼルⅡ
（Basel II）、医療保険の携行と責任に関する法律（Health Insurance Portability and
Accountability Act (HIPAA)）、クレジットカード業界安全基準 (PCI-DSS)のような法律を
遵守する必要があります。これらの規制により、ログの管理が明示的または黙示的に義
務付けられています。ログ管理とは、例えば、ログメッセージの一元的な収集や、セキュ
リティ事故の発生防止及び問題の検出のためのログの分析、最大数年に渡って長期間
ログを確実に入手できるようにすることなどです。SSB は、企業がこれらの規制を遵守
するためのお手伝いを行います。
ログの監視と前処理の自動化
ログメッセージの監視は、システムヘルスの監視とセキュリティ事故の検出及び防止の
一端として必要不可欠です。SSB は、数万のメッセージをリアルタイムにクラス分けでき
る強力なプラットフォームを提供し、通常のものとは異なるメッセージを検出して適切な
アラートをあげることができます。このクラス分けはログ分析アプリケーションとしては完
璧なものではありませんが、SSB は通常のログ分析エンジンよりもはるかに多くのメッセ
ージを処理することができ、重要でないメッセージを除外することでログ分析アプリケー
ションへの負荷を軽減することができます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
13
2
SSB のコンセプト
この章では、SSB の技術的な概念について説明します。
2.1
SSB の製品思想
SSB は、ネットワークデバイス、アプリケーション、コンピューターによって送信されたログ
メッセージを収集、保存、監視するログサーバーアプライアンスです。SSB は従来のシス
ログメッセージ、Internet Engineering Task Force(IETF)の新しい基準に準拠するシスログ
メッセージ、Microsoft Windows ホストから送信されるイベントログメッセージ、SNMP メッセ
ージを受信できます。
図 2-1 SSB の製品思想
クライアントは、BSD-syslog(RFC 3164)または IETF-syslog(RFC 5424-5428)プロトコルを
サポートするアプリケーションが生成するログを SSB に送信できます。または、
syslog-ng Premium Edition アプリケーションを使用して SSB のログ転送エージェントと
して動作させることもできます。
SSB を使用する主な目的は、クライアントからログを収集してそれをハードディスクに保存する
ことです。メッセージは「ログスペース」と呼ばれる領域に保存されます。ログスペースには 2 つ
の種類があります。1 つ目は、従来の平文のテキストファイルでメッセージを保存するもので、2
つ目は圧縮・暗号化・電子署名・タイムスタンプが可能なバイナリフォーマットを使用するもので
す。
syslog-ng アプリケーションは、受信メッセージを判定して、指定された宛先(destinations)に転送
します。syslog-ng アプリケーションは、ファイル、リモートホスト、その他の送信元-これらは全て、
「source」と呼ばれます－から、メッセージを受信できます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
14
ログメッセージは定義済ソースの一つから syslog-ng へ入り、1 つあるいは複数の宛先へと送ら
れます。クライアントの場合、宛先の 1 つが SSB で、SSB 上での宛先はログスペースでもデータ
ベースサーバーやログ分析エンジンのようなリモートサーバーでも可能です。
送信元と宛先は独立したオブジェクトです。ログパス(log paths)は syslog-ng がメッセージをどう
処理するかを定義して、送信元と宛先の橋渡しをします。ログパスは 1 つあるいは複数の送信
元と 1 つあるいは複数の宛先から成っています。送信元に到着するメッセージはログパス内に
記述された宛先それぞれに送信されます。syslog-ng で定義されるログパスはログステートメン
ト(log statement)と呼ばれます。
ログパスにはオプションでフィルター（filters）を含むことが出来ます。フィルターとは、特定のメッ
セージ、例えば特定のアプリケーションから送信されたメッセージのみを選択するルールです。
ログパスにフィルターが含まれる場合、syslog-ng は、ログパスに記述されたフィルター条件に
合致するログメッセージのみを、宛先に転送します。
管理者または監査者が Web ブラウザを使って SSB を設定します。
2.2
SSB でログを収集する
目的：
ここでは syslog-ng クライアントにおけるソースから SSB へのログメッセージのルートを
図式化します。
図 2-2 ログメッセージのルート
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
15
Step
Step 1.
syslog-ng クライアント上でデバイスまたはアプリケーションがソースにログメッセージを
送信します。例えば、Linux 上で動作している Apache Web サーバーは/var/log/apache
ファイルにメッセージを入力します。
Step 2.
Web サーバー上の syslog-ng クライアントは、/var/log/apache からメッセージを
読みます。
Step 3.
syslog-ng クライアントは、/var/log/apache を含む最初のログステートメントを
処理します。
Step 4.
syslog-ng クライアントは、メッセージにオプションで選択されている処理（例えばメッセー
ジのフィルタリング）を行います。例えば、メッセージを、（もしあれば）ログステートメント
のフィルターと比較します。メッセージがすべてのフィルタールールに適合した場合、
syslog-ng はログステートメントで設定されている宛先、例えばリモートの syslog-ng サー
バーにメッセージを送信します。その後、syslog-ng クライアントは、Step3 から Step4 を
繰り返して、/var/log/apache を含む次のログステートメントを処理します。
Step 5.
syslog-ng クライアントによって送信されたメッセージが SSB 上で設定されたソースに到
着します。
Step 6.
SSB は、ソースからのメッセージを読んで、この送信元を含む最初のログパスを処理し
ます。
Step 7.
syslog-ng サーバーは、オプションで選択されている処理（例えばメッセージのフィルタリ
ングや既知のメッセージの一覧と比較するためのパターン照合）を実行します。メッセー
ジがすべてのフィルタールールに適合した場合、SSB はメッセージをログパスで設定さ
れている宛先に送信します。宛先は、SSB 上のローカルファイル(オプションで暗号化)、
または、データベースサーバーなどのリモートサーバーです。
Step 8.
SSB は、Step6 から Step8 を繰り返して、次のログステートメントを処理します。
注記
宛先が送信されたメッセージを処理できなくなった場合、syslog-ng アプリケーションは
その送信元からメッセージを読むのをやめることができます。この機能はフローコント
ロールと呼ばれ、詳細は 2.3 受信メッセージと送信メッセージをフローコントロールで
管理する をご参照ください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
16
2.3
受信メッセージと送信メッセージをフローコントロールで管理する
この章では、メッセージロスを防ぐフローコントロール機能と、syslog-ng 内部のメッセージ処理
のモデルを説明します。フローコントロールを使うには、ログパス内で Flow オプションを有効に
する必要があります。
syslog-ng アプリケーションは、設定ファイルで定義した送信元を監視（ポーリング）して、それぞ
れの送信元のメッセージを定期的に確認します。送信元の 1 つにログッセージが見つかると、
syslog-ng はそれぞれの送信元をポーリングしてメッセージを読み出します。これらのメッセージ
は処理されて syslog-ng の出力バッファー(fifo)に蓄えられます。出力バッファーから、OS が適切
な宛先にメッセージを送信します。
膨大な量のトラフィックをさばくネットワーク環境では、ひとかたまりのポーリング処理(ポーリン
グループ)の間に多くのメッセージが到達することがあります。そのため、syslog-ng はそれぞれ
の送信元から決まった数のメッセージだけを読みます。ポーリングループの間に 1 つの送信元
から読むメッセージの数は、Messages fetched in a single poll オプションで指定します。
図 2-3 syslog-ng でログメッセージを管理する
注記
SSB の Messages fetched in a single poll オプションは Log > Options で
グローバルオプションとして設定できます。
それぞれの宛先には固有の出力バッファーがあります。宛先がすべてのメッセージを即座に受
け入れることができない場合があるので、出力バッファーは必要です。SSB では、Output
memory buffer のパラメータで出力バッファーのサイズを設定します。ポーリングループの際の
メッセージ読み込みがすべて出力バッファー内に確実に収まるように、出力バッファーは送信元
の Messages fetched in a single poll の値より大きくなくてはいけません。ログパスが複数の送信
元から宛先にメッセージを送信する場合、出力バッファーにはそれぞれの送信元の受信メッセ
ージを保存できるだけの大きさが必要です。
TCP と TLS ソースは、いくつかの受信接続（例えば異なる多くのクライアントやアプリケーション）
からログを受信できます。これらの送信元に関しては、syslog-ng がそれぞれの接続からメッセ
ージを読むので、送信元の接続ごとにそれぞれ Messages fetched in a single poll のパラメータ
が適用されます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
17
図 2-4 syslog-ng で、TCP 送信元のログメッセージを管理する
syslog-ng のフローコントロール機能は送信元に対してコントロールウィンドウを導入し、
syslog-ng が送信元からあとどのくらいメッセージを受信できるか追跡できるようにします。
syslog-ng が送信元からメッセージを読む度に、自由に使えるスロットの数が 1 つずつ減ります。
syslog-ng が出力バッファーからメッセージの送信に成功する度に、自由に使えるスロットの数
は 1 つずつ増えます。ウィンドウがいっぱいになる（＝自由に使えるスロットがなくなる）と、
syslog-ng はそのソースからメッセージを読むのを停止します。コントロールウィンドウのデフォ
ルトのサイズは 100 です。フローコントロールが効果をあげるには、Output memory buffer はデ
フォルトサイズの値より大きくなくてはいけません。送信元が複数の接続からメッセージを受け
付ける場合、すべてのメッセージは同じコントロールウィンドウを使用します。
フローコントロールを使用する場合、それぞれのソースに固有のコントロールウィンドウがありま
す。最悪の場合、宛先の出力バッファーを、それぞれのコントロールウィンドウのすべてのメッセ
ージを収容できるよう、設定する必要もありえます。つまり、宛先の Output memory buffer は
(（Number of sources）×(Initial window size))より大きくなくてはいけません。これは特定の宛先
にログを送るすべてのソースに当てはまります。そのため、仮に 2 つのソースに複数の接続が
あり、それらが同じ宛先に大量のログを送信する場合、それぞれのソースのコントロールウィン
ドウサイズは宛先の出力バッファーサイズにふさわしい大きさにする必要があります。さもない
と、syslog-ng はフローコントロールを有効にできず、メッセージロストの可能性があります。
2.3.1 フローコントロールと複数の宛先
ソースのメッセージを複数の宛先に送信する場合、ソース上でフローコントロールを使用すると
重大な副作用が生じます。フローコントロールを使用して宛先の 1 つがメッセージを受信できな
い場合、他の宛先もメッセージを受け取れません。これは syslog-ng がソースからログを読み出
すのを止めてしまうからです。例えば、ソースからのメッセージがリモートサーバーに送られ、同
時にローカルファイルにも保存される場合、サーバーへのネットワーク接続が無効になると、リ
モートサーバーもローカルファイルもメッセージを受け取りません。このフローコントロールの副
作用は syslog-ng のディスクベースのバッファリングの機能を使用することで避けることができま
す。
注記
同じフローコントロールのソースを使用する宛先に別々のログパスを作成しても
問題を避けることはできません。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
18
2.4
セキュアチャンネルからログを受け取る
SSB は Transport Layer Security(TLS)を使用するネットワーク上でログメッセージを安全に
受け取ります（TLS は TCP/IP ネットワークプロトコル上の暗号プロトコルです。）
TLS は通信を認証し暗号化するために証明書を使用します。以下のイラストで表わします。
1. クライアントがサーバーに接続
図 2-5 証明書ベースの認証
2. サーバーがクライアントに対し証明書を送付
ログを送るクライアントは証明書と公開鍵をリクエストすることにより SSB を認証します。オプション
として、SSB はクライアントから証明書をリクエストできるので、相互認証が可能です。
3. クライアントが、CA2 証明書を用いて、
サーバーの証明書を検証
syslog-ng に TLS 暗号を使用するためには以下の要素が必要です。
4. クライアントが、サーバーに対し
クライアント証明書を送付
SSB を識別する SSB での証明書。これはデフォルトによって可能です。
SSB の証明書を発行した Certificate
Authority(CA)の証明書は
syslog-ng クライアントに有効でなければなり
5. サーバーが。CA1
証明書を用いて
ません。
クライアント証明書を検証
図表 2-5 証明書ベースの認証
SSB にログを送信するクライアントは、証明書及び公開鍵の送付を SSB に要請し、それによっ
て認証を行います。オプションとして、SSB がクライアントに対し証明書の送付を要求でき、それ
によって相互認証も可能となります。
syslog-ng において TLS 暗号化を行うためには、以下の条件が揃っていることが必要です。
SSB 自身を証明する証明書が存在すること。(デフォルトで実装されています)
SSB の証明書を発行した CA の証明書が syslog-ng クライアントで利用できること
クライアントの本人性(identity)を確認するために相互認証を使用する時は、以下の条件が
揃っていることが必要です。
syslog-ng クライアント自身を証明する証明書が存在すること
syslog-ng クライアントの証明書を発行した CA の証明書が SSB で利用できること
相互認証は権限を与えれらたクライアントだけから SSB がログメッセージを受け取ることを
保証します。
syslog-ng における TLS 通信を設定する詳細については、７ メッセージソースの設定をご参照
下さい。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
19
2.5
ネットワークインターフェイス
SSB ハードウェアには 5 つのインターフェイスがあります。外部、管理、内部（SSB では現在使用
されていません）、HA そして IPMI インターフェイスです。
外部インターフェイスは SSB とクライアント間の通信に使用します。クライアントはシスログメッセ
ージを SSB の外部インターフェイス経由で送ります。また、SSB の初期設定は常に外部インター
フェイスを使用して実行されます。（初期設定についての詳細は、3.2 ウェルカムウィザードで
SSB を設定 をご参照下さい。）外部インターフェイスは、管理インターフェイスが設定されてい
ない場合、管理目的でも使用されます。外部インターフェイスは１（または EXT）ラベルがついた
イーサネットコネクタを使用します。
管理インターフェイスは、SSB と SSB 監査者もしくは SSB 管理者間のコミュニケーションのため
にのみ使用されます。このインターフェイスへの接続要求は、SSB の Web インターフェイスにア
クセスするためだけに受け入れられ、他の要求は拒否されます。管理インターフェイスは２（ま
たは MGMT）ラベルがついたイーサネットコネクタを使用します。
ルーティング規則は、どのインターフェイスが SSB のリモートバックアップやシスログメッセージ
の転送に使用されるかを決定します。
ヒント
バックアップ、syslog と SNMP メッセージ、E メールアラートは管理インターフェイス
を使用することを推奨します。詳細については 4.3.2 管理用途のトラフィックを、管
理インターフェイスに集約する, をご参照下さい
管理インターフェイスを設定していない場合、外部インターフェイスが管理インターフェイスの役
割をします。
HA インターフェイスは SSB クラスターのノード間の通信専用です。HA インターフェイスは４（また
は HA）ラベルがついたイーサネットコネクタを使用します。ハイアベイラビリティの詳細について
は 2.6 SSB でのハイアベイラビリティ(高可用性)サポートをご参照下さい。
Intelligent Platform Management Interface(IPMI)インターフェイスによりシステム管理者がシステ
ムの健全性を監視してリモートで SSB イベントを管理することができます。IPMI は SSB のオペレ
ーティングシステムと独立して動作します。
2.6
SSB でのハイアベイラビリティ(高可用性)サポート
ハイアベイラビリティクラスタは、ノード間の距離を伸ばすことができます。例えば、ビルディング
間や市を跨ぐなど。HA クラスターのゴールは、場所に依存しないロードバランスやフェイルオー
バーを提供することにより、企業の事業継続をサポートすることです。
ハイアベイラビリティ（HA）モードでは、専用の設定を施された 2 つの SSB ユニット（マスターノー
ドとスレーブノード）が同時に動作します。マスターノードはスレーブノードと全てのデータを共有
し、マスターノードが機能を停止した場合、スレーブノードが即座にアクティブになるので、クライ
アントは引き続き、サーバーにアクセスできます。スレーブノードはマスターノードのインターフェ
イスの MAC アドレスを引き継ぎます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
20
ハイアベイラビリティ SSB クラスターの管理の詳細情報は、6.2 ハイアベイラビリティのクラスタ
ーを管理する を参照してください。
2.7
SSB のファームウェア
SSB のファームウェアは、external（外部）ファームウェアと internal（内部）ファームウェアの 2 つ
に分かれています。
external（外部）ファームウェア（boot（ブート）ファームウェア）は、SSB を起動し、ハイア
ベイラビリティサポートを提供し、internal（内部）ファームウェアを起動します。外部ファー
ムウェアはめったに変更されません。
internal（内部）ファームウェア（core（コア）ファームウェア）は、その他全て（Web インター
フェイスの提供、ログメッセージの受け取りと処理など）を処理します。内部ファームウェ
アは、SSB に新たな機能が加えられるたびに定期的に更新されます。
どちらのファームウェアも SSB Web インターフェイスから更新することができます。詳細は、6.3
SSB のアップグレードをご参照下さい。
2.7.1 ファームウェアとハイアベイラビリティ
ハイアベイラビリティモードで SSB ノードの電源を入れたとき、両方のノードが起動しブートファ
ームウェアを開始します。そしてブートファームウェアは、どちらのユニットがマスターかを決め
ます。（コアファームウェアは、マスターノード上でのみ開始します）。
SSB ファームウェアを Web インターフェイスから更新すると、両方のノード上のファームウェアを
自動的に更新します。
2.8
SSB のバージョンとリリース
2011 年 6 月より、SSB は以下のサポートポリシーに従います。
Long Term Supported または LTS リリース（例：SSB 3LTS）
リリースから 3 年間、あるいは、次の LTS リリースがリリースされてから１年間のいずれ
か遅い方の期間までサポートされます。このリリースの 2 桁目のリビジョンは 0 です（例：
SSB 3.0.1）。LTS リリースに対するメンテナンスリリースはバグフィックスとセキュリティー
アップデートのみを含みます。
Feature リリース（例：SSB 3 F1）
.リリースから 6 か月、あるいは、次の Feature または LTS リリースがリリースされてから
2 か月のいずれか遅い方の期間までサポートされます。このリリースは、機能強化と新
機能（1 回のリリースでおおよそ 1～3 つ）を含みます。最新の Feature リリースのみサポ
ートされます。（例：新しい Feature リリースが出ると、それまでのリリースは 2 か月以内
にサポート対象外になります。）
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
21
警告
Feature リリースからのダウングレードはサポートしていません。LTS リリース（例：3.0）から
Feature リリース（例：3.1）にアップグレードする場合、次の LTS 版（例：4.0）が公開されるま
で、新しい Feature リリースへ継続してアップグレードしなければなりません。
2.9
ライセンス
SSB のライセンスはログメッセージを SSB に送ることができる個々のホスト（ログソースホスト）
の数で決まります。
ログソースホストは syslog-ng サーバーにログを送るホストあるいはネットワークデバイス
（syslog-ng クライアントとリレー含む）です。ログソースホストはサーバー、ルータ、デスクトップ
コンピューター、もしくはシスログメッセージを送り、syslog-ng を実行することができる他のデバ
イスです。ログソースホストは IP アドレスで識別されるので、仮想マシンや仮想ホストは別々に
カウントされます。
SSB ライセンスで syslog-ng Premium Edition アプリケーション（syslog-ng Agent for Windows を
含む）をダウンロードできます。そしてサポートしているプラットフォームにインストールして、SSB
用のログ収集エージェントとして利用できます。。
詳細は弊社にお問合せ下さい。新しいライセンスのインストールについての詳細は、6.3.6 SSB
ライセンスキーのアップデート をご参照下さい。
2.10 ログメッセージの構造
以下のセクションではログメッセージの構造について説明します。現在、2 つの標準シスログ
メッセージのフォーマットがあります。
RFC3164 に記述された古いスタンダード（BSD-syslog あるいは legacy-syslog プロトコル
とも呼ぶ）。詳細は 2.10.1 BSD-syslog あるいは legacy-syslog メッセージをご参照下さ
い。
RFC5424 に記述された新しいスタンダード（IETF-syslog プロトコルとも呼ぶ）。
詳細は 2.10.2 IETF-syslog メッセージをご参照下さい。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
22
2.10.1
BSD-syslog あるいは legacy-syslog メッセージ
このセクションでは legacy-syslog あるいは BSD-syslog プロトコルに従ってシスログメッセージの
フォーマットを説明します（RFC3164 をご参照下さい）。シスログメッセージは以下の部分で構成
されています。
PRI
HEADER
MSG
メッセージはトータルで 1024bytes 以下でなければなりません。
以下はシスログメッセージのサンプルです。
<133>Feb 25 14:09:07 webserver syslogd: restart.
このメッセージは 次のフォーマットに対応しています。
<priority>timestamp hostname application: message
以下のセクションでメッセージの異なるパーツについて説明します。
注記
syslog-ng アプリケーションはもっと長いメッセージもサポートします。詳細は
Message size オプションをご参照下さい。しかし UDP の宛先を使用する際、
パケットサイズより長いメッセージを有効にすることは推奨しません。
2.10.1.1
PRI メッセージ部分
シスログメッセージの PRI の部分（Priority value と呼ばれます）はメッセージの Facility（ファシリ
ティ）と Severity（重要度）を表わします。facility はメッセージを送信するシステムを表わす部分
で、severity はその重要度を表わします。Priority value は最初に Facility 数に 8 を掛けて
Severity の数値を追加します。可能な facility と severity の数値を以下に表わします。
注記
ファシリティコードは異なるプラットフォームで若干違うことがあります。
syslog-ng アプリケーションは数値としてもファシリティコードを受け取ります。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
23
以下のテーブルは facility の値です。
Numerical Code（数値）
Facility
（ファシリティ）
0
カーネルメッセージ
1
ユーザレベルのメッセージ
2
メールシステム
3
システムデーモン
4
セキュリティ/承認メッセージ
5
syslogd による内部発生メッセージ
6
ラインプリンターサブシステム
7
ネットワークニュース サブシステム
8
UUCP サブシステム
9
クロックデーモン
10
セキュリティ/承認メッセージ
11
FTP デーモン
12
NTP サブシステム
13
ログ監査
14
ログアラート
15
クロックデーモン
16-23
ローカル使用ファシリティ（local0-local7）
テーブル 2.1.シスログメッセージファシリティ
以下のテーブルリストは severity の値です。
Numerical Code（数値）
Severity（重要度）
0
Emergency: システムが使用不可能
1
Alert: 至急対応が必要
2
Critical: 重大な状況
3
Error: エラーの状況
4
Warning: 警告の状況
5
Notice: ノーマルだが重要な状況
6
Informational: 情報メッセージ
7
Debug:: デバッグレベルのメッセージ
テーブル 2.2 シスログメッセージ重要度
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
24
2.10.1.2
HEADER（ヘッダー）部分
HEADER（ヘッダー）部分はタイムスタンプとホストネーム（ドメインネーム抜き）あるいはデバイ
スの IP アドレスを含みます。タイムスタンプフィールドはローカルタイムを Mmm dd hh:mm:ss
フォーマットで表わします。
Mmm は月を英語の略で表わしたものです。すなわち Jan, Feb, Mar, Apr, May, Jun, Jul,
Aug, Sep, Oct, Nov, Dec.です。
dd は 2 つの数字で表わす日にちです。値が 10 以下の場合、最初の桁はスペースに
なります。（例えば Aug
7）
hh:mm:ss はローカルタイムです。時間(hh)は 24 時間フォーマットで表記され、有効な入
力値は 00 から 23 です。分(mm)と秒(ss)の入力値は 00 から 59 です。
2.10.1.3
MSG メッセージ部分
MSG の部分はメッセージを作成したプログラムの名前あるいはプロセス、そしてメッセージその
もののテキストを含みます。MSG 部分は通常以下のフォーマットです。
program [pid] ： message text.
2.10.2
IETF-syslog メッセージ
このセクションでは IETF-syslog プロトコル（RFC5424-5428 をご参照下さい）に従って syslog
メッセージのフォーマットを説明します。シスログメッセージは以下のパーツを含みます。
HEADER（PRI を含む）
STRUCTURED-DATA
MSG
以下はシスログメッセージのサンプルです。
<34>1 2003-10-11T22:14:15.003Z mymachine.example.com su - ID47 - BOM'su root' failed
for lonvick on /dev/pts/8
メッセージは以下のフォーマットに相当します。
<priority>VERSION ISOTIMESTAMP HOSTNAME APPLICATION PID MESSAGEID STRUCTURED-DATA
MSG
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
25
この例では Facility が 4 の値で、severity が 2 です。従って PRI は 34(4ｘ8+2)です。VERSION は
1 です。メッセージは 2003 年 10 月 11 日、午後 10 時 14 分 15.003 秒に作成されました。メッセ
ージは自らを”mymachine.example.com”として認識するホストで作成されました。APP-NAME
は‘su’で PROCID は不明です。MSGID は“ID47”です。MSG は"'su root' failed for
lonvick..."、UTF-8 でエンコードされます。エンコードは BOM で定義されます。このメッセージ
には STRUCTURED-DATA（構造データ）が存在せず、STRUCTURED-DATA（構造データ）フィ
ールドは"-"で示されています。MSG は"'su root' failed for lonvick...".です。
メッセージの HEADER（ヘッダー）部分は単純な ASCII フォーマットで、STRUCTURED-DATA（構
造データ）部分のパラメータ値は UTF-8 でなければなりません。一方 MSG 部分は UTF-8 でな
ければなりません。メッセージの別の部分は次のセクションで説明します。
2.10.2.1
PRI メッセージ部分
シスログメッセージの PRI の部分（Priority value として知られています）はメッセージの Facility
（ファシリティ）と Severity（重要度）を表わします。Facility はメッセージを送信するシステムを表
す部分で、severity はその重要度を表わします。Prioirty value は最初に Facility の数に 8 を掛
けて Severity の数値を加えます。可能な facility と severity の値は以下の通りです。
注記
ファシリティコードは異なるプラットフォームで若干違うことがあります。
syslog-ng アプリケーションは数値としてもファシリティコードを受け取りま
す。
Numerical Code（数値）
Facility（ファシリティ）
0
カーネルメッセージ
1
ユーザレベルのメッセージ
2
メールシステム
3
システムデーモン
4
セキュリティ/承認メッセージ
5
Syslogd による内部発生メッセージ
6
ラインプリンターサブシステム
7
ネットワークニュース サブシステム
8
UUCP サブシステム
9
クロックデーモン
10
セキュリティ/承認メッセージ
11
FTP デーモン
12
NTP サブシステム
13
ログ監査
14
ログアラート
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
26
Numerical Code（数値）
Facility（ファシリティ）
15
クロックデーモン
16-23
ローカル使用ファシリティ（local0-local7）
テーブル 2.3.シスログメッセージファシリティ
以下のテーブルリストは severity の値です。
Numerical Code（数値）
Severity（重要度）
0
Emergency: システムが使用不可能
1
Alert: 至急対応が必要
2
Critical: 重大な状況
3
Error: エラーの状況
4
Warning: 警告の状況
5
Notice: ノーマルだが重要な状況
6
Informational: 情報メッセージ
7
Debug:: デバッグレベルメッセージ
テーブル 2.4.シスログメッセージ重要度
2.10.2.2
HEADER（ヘッダー）メッセージ部分
HEADER（ヘッダー）部分は以下の要素を含みます。
VERSION: シスログプロトコルスタンダードの Version 番号。現在は 1 だけになります。
ISOTIMESTAMP: ISO 8601 互 換 ス タ ン ダ ー ド タ イ ム ス タ ン プ フ ォ ー マ ッ ト
(yyyy-mm-ddThh:mm:ss+ -ZONE) で メ ッ セ ー ジ を 作 成 し た と き の 時 間 。 例 え ば 、
2006-06-13T15:58:00.123+01:00.
HOSTNAME: 最初にメッセージを送ったマシン。
APPLICATION: メッセージを作成したデバイスあるいはアプリケーション。
PID: メッセージを送ったシスログアプリケーションのプロセスの名前あるいはプロセスの
ID。メッセージを作成したアプリケーションのプロセス ID とは限らない。
MESSAGEID: メッセージの ID ナンバー。
注記
syslog-ng アプリケーションは他のタイムスタンプフォーマット、例えば ISO、
拡張 PIX フォーマットもサポートします。IETF-syslog プロトコルで使用するタ
イムスタンプは RFC3339 に由来し、ISO8601 をベースとしています。詳細に
ついては、The syslog-ng Premium Edition Administrator Guide.の
ts_format() option をご参照ください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
27
2.10.2.3
STRUCTURED-DATA（構造化データ） メッセージ部分
STRUCTURED-DATA（構造化データ）のメッセージの部分はシスログメッセージについてのメタ
情報、あるいはトラフィックカウンタや IP アドレスのような、アプリケーション固有の情報を含みま
す。STRUCTURED-DATA（構造化データ）は括弧([]).で囲まれたデータのブロックから構成さ
れます。すべてのブロックはブロックの ID、1 つ以上の パラメータ名=値 のペアを含みます。
syslog-ng アプリケーションは自動的にシスログメッセージの STRUCTURED-DATA（構造化デー
タ）部分を解析し、マクロ（詳細は、The syslog-ng Premium Edition Administrator Guide を参照く
ださい。）で参照できます。STRUCTURED-DATA（構造化データ）のブロックの例は以下のよう
になります。
[exampleSDID@0
iut="3"
eventSource="Application"
eventID="1011"][examplePriority@0
class="high"]
2.10.2.4
MSG メッセージ部分
MSG 部分はメッセージそのもののテキストを含みます。BOM 文字がメッセージに表われる場合
テキストのエンコードは UTF-8 でなければなりません。メッセージが BOM 文字を含まない場合、
エンコードは unknown（不明）として扱います。通常 legacy（古いフォーマットを使用する）ソース
から届いたメッセージは BOM 文字を含みません。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
28
3
ウェルカムウィザードと最初のログイン
この章では、SSB 設定の最初のステップを説明していきます。まず、ハードウェアの梱包を
解き、組み立て、電源を入れます。そして、SSB の外部インターフェイスをネットワークに接続す
るか、お持ちのコンピューターに SSB を直接接続して、SSB の設定ができる環境を整えます。
3.1
SSB への初回ログイン
お使いのクライアントコンピューターから、Web ブラウザで SSB にアクセスすることが出来ます。
注記
サポート対象のブラウザの詳細は、4.1 サポートしているブラウザならびに OS を参照してく
ださい。
SSB にはローカルネットワークからアクセスすることができます。バージョン 2.1 からは、SSB は
DHCP から自動的に IP アドレスを受信しようとします。自動的に IP アドレスを取得できなかった
場合は、192.168.1.1（ IP アドレス）で HTTPS 接続のリッスンを開始します。スイッチ設定や
セキュリティ設定が、SSB が DHCP から IP アドレスを受け取ることを妨げる場合があることにご
注意ください。SSB は、external（外部）インターフェイス（EXT）経由で接続を受信します（ネ
ットワークインターフェイスに関する詳細については、2.5 ネットワークインターフェイスをご参照
ください）。
ヒント
SSB コンソールは、外部インターフェイスがリッスンしている IP アドレスを表示します。
SSB が 192.168.1.1 でリッスンしている場合、192.168.1.0/24 サブネットがクライアント
からアクセスできなければならないことにご注意ください。クライアントマシーンがサブネットは異
なる（例えば、IP アドレスが 192.168.10.X）が同じネットワークセグメントに存在する場合、ク
ライアントマシーンにエイリアス IP アドレスを指定するのが一番簡単です。クライアントマシーン
上でエイリアス IP を作成すると、クライアントと SSB の両方が仮想的に同じサブネットに置かれ
るため、それらは互いに通信することができます。エイリアス IP は以下で説明する手順で作成
できます。
Microsoft Windows でのエイリアス IP の作成に関する詳細については、3.1.1 エイリアス
IP アドレスの作成（Microsoft Windows） をご参照ください。
Linux でのエイリアス IP の作成に関する詳細については、3.1.2 エイリアス IP アドレスの
作成（Linux） をご参照ください。
なんらかの理由でエイリアスインターフェイスを設定できない場合は、SSB の IP アドレス
を変更することができます。詳細については、3.1.3 SSB の IP アドレスの変更 をご参照く
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
29
ださい。
警告
ウェルカムウィザードへは、SSB の外部ネットワークインターフェイス経由
でのみ、アクセスすることができます。管理インターフェイスがまだ設定さ
れていないためです。
3.1.1 エイリアス IP アドレスの作成（Microsoft Windows）
目的 ：
ここでは、Microsoft Windows プラットフォームでエイリアス IP アドレスをネットワーク
インターフェイスに割り当てる方法について説明します。
Step ：
Step 1.
スタート > コントロールパネル を選択します。
Step 2.
ネットワークと共有センター を選択します。
※Windows2003/XP は、「ネットワーク接続」
Step 3.
ローカル エリア接続 をダブルクリックし、プロパティ をクリックします。
図表 3.1
Step 4.
リストから、インターネット プロトコル バージョン 4 (TCP/IPv4) を選択し、
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
30
プロパティをクリックします。
図表 3.2
Step 5.
詳細設定 をクリックし、TCP/IP 詳細設定ウィンドウを開きます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
31
図表 3.3
Step 6.
IP アドレスとサブネットマスクを入力し、 追加 をクリックします。
図表 3.4
警告
192.168.1.0/24 の IP アドレス範囲を使用しており、192.168.1.1 と
192.168.1.2 が既に使用されていることもあります。この場合は、ネットワークか
ら SSB を切り離し、一般的なクロスケーブルを使ってコンピューターを外部インターフ
ェイスへ直接つないでください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
32
3.1.2 エイリアス IP アドレスの作成（Linux）
目的 ：
ここでは、Linux プラットフォームでエイリアス IP アドレスをネットワークインターフェイスに
割り当てる方法について説明します
Step ：
Step 1.
ターミナルコンソール（例： gnome-terminal, konsole, xterm など）
を開始します。
Step 2.
root 権限で、以下のコマンドを投入します。
ifconfig <ethX>:0 192.168.1.2
<ethX> にはクライアントのネットワークインターフェイスの ID を入力します。通常
は eth0 か eth1 です。
Step 3.
ifconfig コマンドを発行します。<ethX>:0 インターフェイスが出力に表示され
ます（inet addr:192.168.1.2）。
Step 4.
ping -c 3 192.168.1.1 コマンドを発行し、SSB が利用可能であることを確認しま
す。以下のような結果が表示されます。
user@computer:~$ ping -c 3 192.168.1.1
PING 192.168.1.1 (192.168.1.1) 56(84) bytes of data.
64 bytes from 192.168.1.1: icmp-seq=1 ttl=63 time=0.357 ms
64 bytes from 192.168.1.1: icmp-seq=2 ttl=63 time=0.306 ms
64 bytes from 192.168.1.1: icmp-seq=3 ttl=63 time=0.314 ms
--- 192.168.1.1 ping statistics --3 packets transmitted, 3 received, 0% packet loss, time 2013ms
rtt min/avg/max/mdev = 0.306/0.325/0.357/0.030 ms
ブラウザから https://192.168.1.1 を開き証明書を承認すると、SSB の
ウェルカムウィザードが表示されます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
33
3.1.3 SSB の IP アドレスの変更
目的 ：
ここでは、任意の IP アドレス上で接続をリッスンするように、SSB を設定する方法について説明
します。
Step ：
Step 1.
サーバーのローカルコンソールから SSB にアクセスします。
警告
この設定は、SSB の初期設定前（ウェルカムウィザードの完了前）にのみ行ってくださ
い。構成済み SSB システムの IP アドレスまたはネットワーク設定の変更に関する詳細に
ついては、4.3 ネットワーク設定 をご参照ください。
｢username｣は ”root”、｢password｣は ”default”でログインします。
Step 2.
コンソールメニューで、Shells > Core shell を選択します。
Step 3.
以下のコマンドを使用して SSB の IP アドレスを変更します。
※< IP アドレス> は、実際に設定する IPｖ4 アドレスを入力します。
ifconfig eth0 <IP アドレス> netmask 255.255.255.0
Step 4.
以下のコマンドを使用してデフォルトゲートウェイを設定します。
route add default gw <デフォルトゲートウェイの IP アドレス>
Step 5.
exit と入力し、また、コンソールメニューから Logout を選択します。
Step 6.
ブラウザから https://<Step3 で設定した IP アドレス> を開き証明書を承認しま
す。SSB のウェルカムウィザードが表示されます。
3.2
ウェルカムウィザードで SSB を設定
目的 ：
ウェルカムウィザードは SSB の基本設定作業を手引きします。全てのパラメータは、最終 Step
の前にウィザードの Back（戻る）ボタンで戻って設定し直すか、後で SSB の Web インターフェイ
スから入って変更することができます。ここでは、ウェルカムウィザードでの設定手順を説明しま
す。
Step ：
Step 1.
ブラウザで、https://<SSB の外部インターフェイスアドレス>を開き、表示される証明
書を承認します。SSB のウェルカムウィザードが表示されます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
34
ヒント：
「外部インターフェイス」の IP アドレスとは、①SSB が DHCP から取得した IP アドレ
ス ②DHCP 取得に失敗した際の 192.168.1.1 ③手順 3.1.3 で設定した IP ア
ドレスのいずれかです。
Step 2.
SSB への初回ログインの場合は、｢Next｣をクリックします。
図表 3-5 ウェルカムウィザード
バックアップファイルから、既存の設定をインポートすることも可能です。システムリカバリー後
にバックアップ設定を修復するときや、新しいデバイスに既存の SSB 設定を移行するときに、こ
の機能を使用します。
注：設定ファイルのインポートを行わない場合は、このまま｢Next｣をクリックします。
Step a.
参照をクリックし、予めエクスポートした設定ファイルを選択します。
注記
GPG で暗号化されたコンフィグレーションを直接インポートすることはできません。
ローカルで最初に復号する必要があります。
Step b.
Encryption password（暗号パスワード）フィールドに設定をエクスポートしたとき
に設定したパスワードを入力します。(エクスポート時、パスワードを設定した場
合のみ)
コンフィグレーションバックアップからコンフィグレーションをリストアする詳細に
ついては、16.7 SSB の設定情報とデータのリストア を参照してください。
Step c.
Upload （アップロード）をクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
35
警告
ある SSB から他の SSB へ設定をコピーする為にインポート機能を使用する際、
移行先の SSB の IP アドレスを忘れずに設定し直してください。同じネットワーク
上に同一の IP アドレスを持つデバイスが複数存在するとエラーになります。
Step 3.
エンドユーザライセンスに同意し、SSB ライセンスをインストールします。
図表 3.6 エンドユーザ同意書及びライセンスキー
Step a.
License agreement（エンドユーザライセンス同意書）を読み、Confirmation 欄
の I have read and agree with the terms and conditions（この条項および条件
を読み同意しました）のチェックボックスを選択します。
Step b.
License file upload（ライセンスファイルのアップロード）の参照をクリックして
SSB のライセンスファイルを選択し、Upload をクリックします。
注記
ライセンスファイルを解凍する必要はありません。
圧縮ファイル（例：zip）をそのままアップロードできます。
Step c.
Step 4.
Next をクリックします。
フィールドに必要事項を入力し、ネットワーク設定を行います。各フィールドの意味は
以下に説明します。
入力が必須のフィールドが空欄の場合、フィールドが赤色で表示されます。全ての
パラメータは、後で SSB のインターフェイスから変更することができます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
36
図表 3.7 ネットワーク初期設定
あ
Step a.
Hostname（ホスト名）：SSB を起動するマシンの名前（例： SSB）
Step b.
Domainname（ドメイン名）：ネットワークで使用されているドメインの名前
Step c.
DNS server（DNS サーバー）：ドメイン名解決のために使用されている
ネームサーバーの IP アドレス
Step d.
NTP server（NTP サーバー）：NTP サーバーの IP アドレスまたはホスト名
Step e.
SMTP server（SMTP サーバー）：E メール配信のために使用される SMTP サー
バーの IP アドレスまたはホスト名
Step f.
Administrator's e-mail（管理者の E メール）：SSB 管理者の E メールアドレス
Step g.
Timezone（タイムゾーン）：SSB が稼動している場所が属する標準時
Step h.
External interface — IP address：SSB の外部インターフェイスの IP アドレス(例：
192.168.1.1)。対応する物理サブネットの範囲から IP アドレスを選ぶこともできま
す。クライアントが外部インターフェイスに接続するので、アクセス可能状態でな
ければなりません。
注記
ホストは、次の範囲に該当しないようにしてください。
1.2.0.0/16（SSB クラスターノード間のコミュニケーションに
予約されています。
）
127.0.0.0/8 の（ローカルホスト IP アドレス）
Step i.
External interface — Netmask：お使いの IP ネットワークのサブネットマスクを入
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
37
力します。例としてクラスＣの場合、255.255.255.0 となります。
Step j.
Default GW（デフォルトゲートウェイ）：
デフォルトゲートウェイの IP アドレス。複数のネットワークカードを使用
している場合は、デフォルトゲートウェイは通常外部インターフェイス
の方向にあります。
Step k.
HA address（ハイアベイラビリティ アドレス）：
ハイアベイラビリティ（HA）インターフェイスの IP アドレス。このフィールドは
システム管理者から特に指定された場合を除き、Auto negotiation
（自動ネゴシエーション）のままにしておきます。
Step l.
Step 5.
すべてのパラメータの入力が終了したら、Next をクリックします。
SSB にアクセスするために用いるパスワードを入力します。
図表 3.8 パスワード
注記：
SSB のパスワードには、以下の特殊文字を含めることができます。
!"#$%&'()*+,-./:;<=>?@[\]^-`{|}
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
38
Step a.
Admin password：SSB に Web アクセスする、admin ユーザが使用する
パスワードを入力します。
Step b.
Root password：root 権限のパスワード。SSH でログインする場合、またはロー
カルコンソールで SSB を操作する場合に使用します。
注記
SSH を使用して SSB へアクセスする必要はほとんどありません。
上級ユーザがトラブルシューティング目的でのみ使用すること
を推奨します。
Step c.
ユーザが SSH 経由で SSB にリモートアクセスすることを防ぎたい場合、または
SSB の root パスワードを変更するのを防ぎたい場合は、Seal the box
（このボックスを封印する）チェックボックスを選択します。シールドモードは後
で Web インターフェイスから有効化することができます。詳細については、
6.5 シールドモードをご参照ください。
Step d.
Next をクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
39
Step 6.
SSB Web インターフェイスの証明書を作成またはアップロードします。この SSL 証明書は、
管理者(admin ユーザ)が Web インターフェイスに HTTPS 接続をする際の認証を行うために、表示
されるものです。
図表 3.9 SSB の証明書作成
あ
自己署名証明書を作成するために、Generate new self-signed certificate（新しい自
己署名証明書の生成）セクションのフィールドに入力し、Generate Certificate（証明
書を生成）をクリックします。証明書は SSB アプライアンスによって自己署名されます
（SSB のホスト名が issuer（発行元）と common name として使用されます）。
Step a.
Country（国）：国名（例： JP-Japan）
Step b.
Locality name（地域名）：SSB が稼動しているマシンのある
市区町村名（例： Fuchu）
Step c.
Organization name（組織名）：SSB を所有している会社名(例： Example Inc.)
Step d.
Organization unit name（部門名）：SSB を所有している会社の部署名
（例： IT Security Department）
Step e.
State or Province name（都道府県名）：SSB が稼動しているマシンのある
都道府県名
Step f.
Generate certificate（証明書の生成）をクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
40
外部の認証局による証明書をお使いになりたい場合は、”Server X.509 certificate”
欄の をクリックし、以下手順で証明書をアップロードします。
図表 3.10 SSB の証明書アップロード画面
上記画面が現れますので、アップロードするファイルを選択して、
｢Upload｣をクリックします。
つぎに、”Server Private Key” 欄の
護しているパスワードを入力します。
をクリックし、秘密鍵をアップします。そして、秘密鍵を保
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
41
図表 3.11 秘密鍵のアップロード
。
注記
SSB は、PEM(RSA 及び DSA)、PUTTY、SSHCOM/Tectia 形式の秘密
鍵を認識可能です。パスワード保護された秘密鍵もサポートしています。
2048-bit 長以上の RSA キーの使用を推奨します。
注記
パスワードの文字数は 150 文字以内です。以下の文字が
使用可能です。!"#$%&'()*+,-./:;<=>?@[\]^-`{|}
Step 7.
ここまでのステップで入力した設定値を再確認します。直前のステップで生成した
証明書、RSA/SSH キー、ライセンス情報も表示されるので、あわせて確認します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
42
図表 3.12 設定値の再確認
正しいことが確認できたら、”Finish” をクリックします。
警告
“Finish” を押下した時点で、設定値が直ちに反映されます。したがって
ネットワークの設定を誤ると、ウェルカムウィザード終了後、SSB に
アクセスができなくなります。
ここまで終了すると、”external interface” の IP アドレスにて、SSB への Web アクセ
スが可能になります。
Step 8.
“Finish” をクリックすると、お使いの Web ブラウザは、自動的に SSB の external
interface にリダイレクトされます。ユーザ名”admin” 、パスワードは、ウェルカムウィ
ザードで設定したパスワードにて、ログインしてください。
図表 3.13 SSB へのログイン
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
43
4
SSB の基本的な設定
SSB は、Web インターフェイスより設定を行います。変更は、
をクリックした時点で自
動的に反映されます。その時点で設定を編集しているページあるいはタブのみ、変更が反映さ
れます。つまり、ページまたはタブごとに、Commit が押下される必要があります。
サポートしているブラウザについては、4.1 サポートしているブラウザならびに OS
をご参照ください。
SSB における Web インターフェイスの使い方は、4.2 Web インターフェイスの構成
をご参照ください。
ネットワークの設定は、4.3 ネットワーク設定 をご参照ください。
日付と時刻の設定は、4.4 日付と時刻の設定 をご参照ください。
システムのロギングと e-mail アラートの設定は、4.5 SNMP と E メールアラート
をご参照ください。
システムの監視設定は、4.6 SSB のシステム監視設定 をご参照ください。
データと設定情報のバックアップは、4.7 データと設定情報のバックアップ
をご参照ください。
データのアーカイブとクリーンナップの設定は、4.8 アーカイブとクリーンナップ
をご参照ください。
バックアップとアーカイブのプロトコルの詳細は、4.9 バックアップとアーカイブプロトコル
のパラメータ をご参照ください。
4.1
サポートしているブラウザならびに OS
SSB の Web インターフェイスは、TLS 暗号化方式と、強力な暗号化アルゴリズムを実現できる環境
からのみ、アクセス可能です。
サポートしているブラウザ：Mozilla Firefox 17 と Microsoft Internet Explore 8 と 9。ブラウザは、
HTTPS 接続と Java スクリプト、そして cookie をサポートしている必要があります。Java スクリプト
と cookie が有効になっていることをご確認ください。
Windows Server 2008 R2 Enterprise 上の Internet Explorer 8.0 を使用する場合は、Internet
Explorer のコンテンツ アドバイザーを無効にします。コンテンツアドバイザを無効にするには、
Tools > Internet Options > Contents > Content Advisor > Disable を選択します。
他のテスト済ブラウザ： Mozilla Firefox 3.6 と Google Chrome 17
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
44
注記
お使いのブラウザがサポート外、あるいは Java スクリプトが無効になっている
場合は、警告が表示されます。
サポートしているオペレーティングシステム：Microsoft WindowsXP、Windows2003 Server、
Windows Vista、Windows 2008 Server、Windows7、Linux
4.2
Web インターフェイスの構成
SSB の Web インターフェイスは、以下の主要なセクションから構成されています。
• Main menu(メインメニュー)：各メニューはタブのワークスペースにそれぞれのオプションを表
示します。メニュー項目横の をクリックすると、選択可能なタブが展開されます。
図表 4.1 Web インターフェイスの構成
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
45
• User menu(ユーザメニュー)：ログインの際のパスワード変更、ログアウトへ進む、あるいは、
確認ウィンドウを非表示にする、ツールチップ(パラメータ入力欄にマウスポインタをあてた際
にポップアップされるヒント)を非表示にする、などの設定変更が、「Preferences」メニューから
行えます。
• User info(ユーザ情報)：現在ログオンしているユーザの情報が表示されます。
User：ユーザ名
Host：ユーザがアクセスをしている、クライアント コンピューターの IP アドレス
Last Login：ユーザが前回ログインした時刻と、IP アドレス
図表 4.2 ユーザメニューとユーザ情報
• System monitor(システムモニター)：SSB サーバーの状態と、システムヘルスの状態が表示
されます。内容は以下のとおりです。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
46
図表 4.3 システムモニター
Time：システム日付及び時刻
Remaining time: Web インターフェイスのセッションが時間切れになるまでの残り時間
注記
タイムアウトの設定を変更するには、以下に移動してタイムアウト値を分で入力し
ます。Basic Setting > Management > Web interface timeout
Locked: インターフェイスが他の管理者により占有されているいることを表示していま
す。詳細は、4.2.2 複数のユーザからの Web 経由のアクセスと、排他制御 をご参照くだ
さい。
Modules：SSB 上で稼動している syslog-ng の状態（通常は RUNNING）
License：ライセンスが期限切れ、あるいは評価版の期日終了している場合のみ表示
RAID status：RAID デバイスのステータス、ディスク間で同期を取っている最中のみ表示
Active：
•
Hosts：ログの発生元（コンピューターなど）のクライアント数（ログソースホスト）
•
Senders：直接ログを送信してきている装置の数(リレーなど)
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
47
例
｢hosts｣と｢sender｣はどうカウントされるか
a. 300 のクライアントが全て、直接 SSB に対しログを送信している場合、
｢Hosts｣、｢Sender｣ともに 300
b. 300 のクライアントが、3 台のリレーにログを送信し、その 3 台のリレー自身は
ログを吐いていない場合、｢Hosts｣は 300、「Sender」は 3
c. b のケースで、リレー自身 も ログを出力している 場合、｢Hosts｣は 303、
｢Sender｣は 3
•
HA(ハイアベイラビリティ)：ハイアベイラビリティ(高可用性)クラスターモードで SSB が
稼動している場合、ステータスと、稼動しているマシンの ID が表示されます。冗長化
ハートビートが設定されている場合には、状態が同じく表示されます。また、クラスタ
ーを構成するマシン同士が、データの同期を取っている最中は、そのステータス及
び残り時間も表示されます。
•
システムの平均負荷を表示：
Load1：過去 1 分間
Load15：過去 15 分間
•
CPU、memory、disk、swap use：グラフの棒の上にマウスポインタを当てると、詳細
の情報がツールチップにて表示されます。また、Basic Settings > Dashboard とクリ
ックすれば、より詳細なレポートが閲覧できます。
システムモニターは、SSB の現在の状況を表示します。これらの情報をさかのぼってみたい
場合は、Basic Settings > Dashboard でレポートを見ます。詳細は、16.5 ステータス履歴と統計
をご参照ください。
4.2.1 メインワークスペースの構成要素
Web インターフェイスのメインワークスペースは、現在選択されているメインメニュー項目に関連
する設定値が表示されます。メインメニュー項目は、ひとつ以上のタブから構成されます。その
タブに含まれる設定項目は、青地で表示されたグループやセクションにまとめられています。
図表 4.4 メインワークスペース
：全てのページに、ひとつ以上の、オレンジ色のアクションボタンが配置されてい
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
48
ます。もっともよく使われるアクションボタンは、｢Commit｣です。設定項目に対する変更を
保存し反映させます。
/
詳細の表示/非表示：設定を追加する欄の表示/非表示を切り替えます。
/ 入力欄の追加：新たな入力行、または入力欄を追加表示します。
(例：IP アドレス、新規ポリシー)
/
入力欄の削除：入力行または入力欄を削除します。
/
一覧表示/非表示：オプション一覧の表示/非表示を切り替えます。
(例：設定可能なレポート一覧)
既設定値の修正またはファイルのアップロード：既に設定済みの値を修正します。(例：
ホストキー、一覧)またはファイルのアップロード時にも用います。(例：秘密鍵)これらを実
行する際は、ポップアップ ウィンドウが現れ、そこから実際のアクションを実行します。
/ 一覧中の項目の並べ替え：一覧の中の、項目順を入れ替えます。一覧に表示され
ている項目(例：接続の順番、チャネルポリシーの中の、許可されているチャネル)の順序
は、大変重要です。SSB は、ポリシーを検査する際、一覧の上に位置する項目から、その
条件に一致するか否かを評価して、一致した最初の項目を選択します。例えば、保護され
ているサーバーに対しクライアントが接続要求をしてきた場合、SSB は、クライアント IP ア
ドレス、サーバーIP アドレス及びターゲットポート番号(接続の From、To、ポートフィールド)
が一致する、最初の接続ポリシーを選択します。
Message window(メッセージウインドウ)：ユーザが実行したアクションに対して、SSB からの応答
を表示します。(例：”Configuration saved successfully” -設定の変更は正しく保存されました-)
エラーメッセージも、ポップアップで表示されます。これら全ての、表示されるメッセージは、SSB
のシステムログにも記録されます。ログを確認したい場合は、Basic Settings > Troubleshooting
の順にクリックしてください。なお、アクションが成功した際に、ポップアップメッセージウインドウ
を自動で閉じるようにするには、User menu > Preferences の順にクリックし、Autoclose
successful commit messages(成功した設定変更のメッセージを自動で閉じる)オプションにチェ
ックを入れます。
図表 4.5 メッセージウインドウ
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
49
4.2.2 複数のユーザからの Web 経由のアクセスと、排他制御
複数の管理者(administrator)が、Web インターフェイスから SSB にアクセスすることは可能です。
しかし、設定の変更を行えるのは、そのうちの 1 ユーザのみです。つまり、設定変更の権限を持
つ、最初のユーザが SSB の設定メニュー(例：Basic Settings、AAA、Logs 等)にアクセスした時
点で、他のユーザに対して排他制御をすることを意味します。System Monitor 欄に、現在、他の
ユーザをロックしている(設定の変更が可能な)管理者ユーザのユーザ名及び IP アドレスが表示
されます。他の管理者ユーザは、排他している管理者ユーザがログアウトするか、セッションの
時間切れになるまで待たなければなりません。しかし、設定変更を伴わない、Search(検索)や、
Reporting(レポート)などのメニューにはアクセスできます。また、確認するのみであれば、設定
内容にもアクセスできます。詳細は、5.6 ユーザ権限とユーザグループを管理するをご参照くだ
さい。
注記
管理者権限を持つユーザが、ローカルコンソール、または SSH で SSB にアクセスして
いる場合、Web インターフェイスによる他のユーザのアクセスは完全にブロックされます。.
また、Web インターフェイスからのアクセス同様、一定時間アクセスのないローカルコンソ
ールからのあるいはリモート SSH アクセスは、タイムアウトしてセッションが切断されます。
詳しくは、6.4 SSB のコンソールにアクセスするをご参照ください。
4.2.3
Web インターフェイスのタイムアウト
SSB は、デフォルトでは 10 分間操作をしないと、Web セッションが終了します。このタイムアウト
値を変更するには、Basic Settings > Management > Session timeout オプションを変更してくださ
い。
図表 4.6 Web インターフェイスのタイムアウト
4.3
ネットワーク設定
Network タブには、ネットワークインターフェイスと、ホスト名、DNS 等に関する
設定項目が包含されています。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
50
図表 4.7 ネットワーク設定
Interfaces > External interface(外部インターフェイス)
クライアントからの接続インターフェイスとなる、IP アドレスとサブネットマスクを設定します。
新たなエイリアス IP アドレス(エイリアスインターフェイスとも呼ばれます)を追加するには
アイコンを、設定済みのインターフェイスを削除するには
アイコンをクリックします。最
低ひとつの外部インターフェイスが定義されている必要があります。管理インターフェイス
が有効(Enable)になっていない場合は、SSB に対しては全て外部インターフェイス経由で
のアクセスとなります。複数のインターフェイスが設定されている場合、最初に設定されて
いる値が物理インターフェイスとみなされ、残りはエイリアスインターフェイスとみなされま
す。管理インターフェイスが有効になっていない場合、設定されている全ての外部インター
フェイスからのアクセスが可能です。
オプションとして、管理インターフェイスを設定した場合でも、Web 画面へのアクセスを可能
にする設定が可能です。｢Management Enabled｣のチェックを ON にします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
51
警告
｢Management Enabled｣を ON にし、かつ同じインターフェイス(例えば、eth:0)
でエイリアスを設定した場合、SSB はもとの IP アドレスのみから管理アクセ
スを受付けます。
注記
ホストは、次の範囲に該当しないようにしてください。
1.2.0.0/16（SSB クラスターノード間のコミュニケーションに予約さ
れています。
）
127.0.0.0/8（ローカルホスト IP アドレス）
注記
イ ン ター フェ イス の速 度設 定は 、 それ ぞれ 個別 に表 示 されて いま す。
(｢Ethernet Links｣セクション)速度を明示的に設定したい場合は、Speed プ
ルダウンから選択できますが、上級ユーザ向けの設定項目です。なお、もと
もと装てんされていた SSB の NIC を交換してしまうと、この設定変更は効果
がありません。
Interfaces > Management interface(管理インターフェイス)
SSB に Web アクセスをするための IP アドレスとサブネットマスクを設定します。管理インタ
ーフェイスが設定された場合、他の外部インターフェイスが明示的に有効化されない限り、
SSB への Web アクセスはこのインターフェイス経由のみ可能となります。
注記
ホストは、次の範囲に該当しないようにしてください。
1.2.0.0/16（SSB クラスターノード間のコミュニケーションに予約さ
れています。
）
127.0.0.0/8（ローカルホスト IP アドレス）
4.3.1 管理インターフェイスの設定
目的：
管理インターフェイスへの設定を変更する手順を説明します。
Step：
Step 1.
Basic Settings > Network > Interfaces の順にクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
52
図表 4.8 管理インターフェイスの設定
Step 2.
Management interface フィールドで、"Enable Management Interface"
(管理インターフェイスを有効にする)にチェックを入れます。
Step 3.
Address 欄に、管理インターフェイスの IP アドレスを入力します。
Step 4.
Netmask 欄に、上記 IP アドレスのサブネットマスクを入力します。
Step 5.
警告
を押下すると即座に、Web インターフェイスはここで設定した管理
インターフェイス経由に切り替わります。External interface で、
Management Enalbed を ON にしていない限り、これまでアクセスしていた
外部インターフェイス経由でのアクセスはできなくなります。
LAN ケーブルが接続されていること、管理インターフェイスに設定するアドレス
が、有効なネットワーク内に存在することを確認してください。
HA モードにおいて各インターフェイスがネットワークとの疎通が取れているか
どうかは、Basic Settings > Network > Ethernet links > HA interface > Link
欄の、各インターフェイス欄の横に緑色チェックで示されています。
HA interface セクションは、ハイアベイラビリティインターフェイスにおいてリンク
が検知された場合のみ、表示されます。
をクリックします。
HA address
ハイアベイラビリティのインターフェイスにおける IP アドレスを設定します。システム管理
者からの要請がない場合は、Auto negotiation のままにしておきます。
注記
SSB バージョン 1.1.1 までは、ハイアベイラビリティの双方のクラスターが
同時にブートする場合、1.2.4.1 のアドレスを持つノードが自動的に
マスターになります。
Interfaces > Rouiting table(ルーティングテーブル)
SSB がリモートネットワーク環境へパケットを送信する際、どのパスを経由させるかを判
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
53
断するために、ルーティングテーブルを参照します。ルーティングテーブルに何も情報が
ない場合は、デフォルトゲートウェイに向けて送出します。ルーティングテーブルは、特
定のホストまたはネットワーク向けに、静的ルートを設定したい場合に用います。また、
もし internal interface(内部インターフェイス)が複数のサブネットに接続されている場合
は、ルーティングテーブルの設定は必須となります。デフォルトゲートウェイは、たいてい
は外部インターフェイスに向いているからです。新たにルーティング情報を追加するには、
アイコンをクリックして入力フィールドを展開させます。設定済みの情報を削除するに
は、
アイコンをクリックします。｢ルート｣とは、IP アドレス/サブネットマスクで指定した
宛先ネットワーク向けの送信メッセージが、指定したゲートウェイへ送出されることを意
味します。
詳細な設定例については、4.3.2 管理用途のトラフィックを、管理インターフェイスに集約
するをご参照ください。
Naming > Hostname(ホスト名)
SSB が稼動しているマシンの名称を定義します。
Name > Nick name（ニックネーム）
SSB のニックネームを設定します。デバイスを識別するのに利用できます。これは、コア
やブートにログインすると表示されます。
Naming > DNS search domain（DNS サーチドメイン）
ネットワーク上で使用されるドメイン名を設定します。接続してきたホストのドメイン名を
解決しようとする場合、SSB は追加されたドメインエントリーが空白の場合、対象のホス
ト名を解決するため、このドメインを使用します。
Naming > Primary DNS server(プライマリ DNS サーバー)
名前解決の際用いられる DNS のプライマリサーバーの IP アドレスを指定します。
Naming > Secondary DNS server(セカンダリ DNS サーバー)
プライマリサーバーが使用不能になった場合、名前解決に用いられるセカンダリサーバ
ーの IP アドレスを指定します。
4.3.2 管理用途のトラフィックを、管理インターフェイスに集約する
目的：
セキュリティ上の観点から、そして、ネットワーク上のトラフィック輻輳を回避するために、管理用
途で発生するトラフィックは、全て管理インターフェイスに集約することを推奨します。例えば、設
定変更のための Web インターフェイスへのアクセス、バックアップ/アーカイブに伴うトラフィック、
リモートホストへのデータ転送、E メールまたは SNMP アラートで発生するトラフィックなどです。
警告
管理インターフェイスの設定が完了してから、この設定作業を行ってくださ
い。そうでないと、SSB から送出されたデータが失われる可能性がありま
す。設定に関する詳細は、4.3.1 管理インターフェイスの設定をご参照くださ
い。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
54
Step：
Step 1.
新たなルーティング情報を設定したい場合は、Basic settings > Network > Interfaces
の順にクリックし、Routing table 欄で をクリックします。
図表 4.9 ルーティング
Step 2.
バックアップサーバーの IP アドレスを、Address 欄に入力します。(4.7.1 バックア
ップのポリシーを定義で指定します)
Step 3.
入力した IP アドレスのサブネットマスクを、Netmask 欄に入力します。
Step 4.
指定したサブネットワークのゲートウェイのアドレスを、Gateway 欄に入力しま
す。
Step 5.
Step 6.
を押下します。
他にもバックアップサーバーが定義されている場合、1-5 のステップを繰り返し
ます。
Step 7.
SMTP サーバーの設定のために、1-5 のステップを実行します。(SMTP サーバ
ーに関しては、4.5 SNMP と E メールアラートで設定しています)
Step 8.
リモート転送のために、1-5 を実行します。(リモート転送に関しては、9 SSB から
ログメッセージを転送するで設定します)
4.4
日付と時刻の設定
日付と時刻に関する設定は、Basic settings > Date & Time の順にクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
55
図表 4.10 日付と時刻の設定
警告
SSB の時刻を正確に合わせておくことは大変重要です。時刻の同期が取
れなくなった場合、このページに警告メッセージが表示され、管理者にアラ
ートが発せられます。
日付・時刻を明示的にセットしたい場合は、Date and time settings フィールド内の入力欄に
日付・時刻を入力し、Set Date & Time をクリックします。
4.4.1 NTP サーバーによる時刻同期
目的：
時刻サーバーと時刻の同期を取る設定を説明します。
Step：
Step 1.
Timezone フィールドから、地域の属するタイムゾーンを選択します。
Step 2.
Address フィールドに、NTP サーバーの IP アドレスを入力します。
Step 3.
Step 4.
を押下します。
NTP サーバーを追加する場合は
を、設定値を削除する場合は をクリックします。
注記
システム時刻と SSB の保持している時刻との乖離が大きい場合等、NTP サーバーとの同
期に時間がかかる場合があります。その際は Sync now をクリックし、SNTP サーバーと即
座に同期を取ってください。
ハイアベイラビリティモードで二つのマシンが稼動している場合、Sync now ボタンではな
く、Sync_Master ボタンになります。これは、マスターノードを NTP サーバーと同期させま
す。マスター～スレーブノード間の時刻を同期するには、Sync Slave to Master を押下しま
す。
4.5
SNMP と E メールアラート
E メールアラートに関する設定を行うには、Basic Settings > Management の順に
クリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
56
図表 4.11 SNMP と E メールアラートの設定
4.5.1 E メールアラートの設定
目的：
E メールアラートに関する設定方法を説明します。
Step：
Step 1.
Basic Settings > Management > Mail settings の順にクリックします。
Step 2.
SMTP server address 欄に、メールサーバーの IP アドレスを入力します。
図表 4.12 E メールの設定
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
57
Step 3.
Send e-mail as 欄に送信者の e-mail アドレスを入力します。e-mail をフィルタリ
ングしている場合に便利です。SSB はここに設定された e-mail アドレスで送信し
ます。空欄の場合、デフォルトの e-mail アドレスで送信されます。
Step 4.
Administrator's e-mail address 欄に、管理者の E メールアドレスを入力します。
SSB は、システムイベント関連の通知メールをこのアドレスに向けて送信します。
ただし、監視アラートとレポートのメールは含まれません。
Step 5.
Send e-mail alerts to 欄に、管理者の E メールアドレスを入力します。SSB は、
監視アラートをこのアドレスに向けて送信します。
Step 6.
Send reports to 欄に、トラフィックレポートを受信したい人の E メールアドレスを
入力します。レポートに関して詳細は、13.7 レポートをご参照ください。
警告
アラート E メールを得るためには、このフィールドにメールアドレスを入れてく
ださい。これらの設定が正しくないとアラート送信は失敗します。デフォルト
では、アラートメールアドレスは、管理者メールアドレスにフォールバックしま
せん。
Step 7.
Step 8.
をクリックします。
Test をクリックし、送信テストを行います。正しく送信されない場合、SSB がメー
ルサーバーにアクセスできるか確認する必要があります。詳しくは 16 章 トラブ
ルシューティングをご参照ください。
Step 9.
Basic Settings > Alerting & Monitoring の順にクリックし、どのような状況におい
て、SSB からのアラートメールを受信するかを設定します。詳しくは、4.6 SSB の
システム監視設定をご参照ください。
Step 10.
をクリックします。
4.5.2 SNMP アラートを設定する
目的：
SSB は、監視サーバーに向けて SNMP 経由でアラートを送信することが可能です。SNMP に
よるアラート送信の設定方法を説明します。
Step：
Step 1.
Basic Settings > Management > SNMP trap settings の順にクリックします。
Step 2.
SNMP server address 欄に、SNMP サーバーの IP アドレスまたはホスト名を
入力します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
58
図表 4.13 SNMP アラートの設定
Step 3.
SNMP のバージョンを選択します。
SNMP ｖ2c をお使いになるのであれば、SNMP v2c を選択し、コミュニティ名を
Community 欄に入力します。
SNMP ｖ3 をお使いなら、SNMP v3 を選択します。SNMP ｖ3 に関するパラメータの入
力欄が展開されるので、以下の手順で入力を完了させます。
図表 4.14 v3 による SNMP アラートの設定
Step a.
Username 欄に、ユーザ名を入力します。
Step b.
Engine ID 欄に、SNMP v3 のエンジン ID を入力します。エンジン ID は、最低 10
桁の 16 進数表記で、必ず｢0x｣で始まります。例：0xABABABABAB
Step c.
Authentication method 欄で、認証方法(例：MD5、SHA1)を選択します。
Step d.
Authentication password 欄に、認証で用いるパスワードを入力します。
Step e.
Encryption method 欄で暗号化の方法(例：Disabled、DES、AES)を選択します。
Step f.
Encryption password 欄に、暗号化で用いるパスワードを入力します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
59
注記
SSB は 150 文字以内のパスワードが使用できます。以下の特殊文字が利用できます。
!"#$%&'()*+,-./:;<=>?@[\]^-`{|}
Step 4.
Step 5.
をクリックします。
Basic Settings > Alerting & Monitoring の順にクリックし、どのような状況で SSB
が SNMP アラートを送出するかを選択します。詳細は、4.6 SSB のシステム監視
設定をご参照ください。
Step 6.
をクリックします。
4.5.3 エージェントを使って SSB のステータス情報を得る
目的：
外部の SNMP エージェントは、SSB の状態を問合せることができます。クライアントが情報を問合
せできるように設定の手順を説明します。
Step：
Step 1.
Basic Settings > Management > SNMP agent settings の順にクリックします。
図表 4.15 SNMP エージェントからのアクセスを設定
Step 2.
SNMP 経由で、SSB の状態は動的に問合せされます。デフォルトでは、どのホ
ストから問合せが可能です。問合せを受け付けるホストをひとつに絞りたい場
合は、Client address 欄に、そのホストの IP アドレスを入力します。
Step 3.
オプションとして、System location、System contact、System description 欄に
入力することにより、SNMP サーバーに関する詳細情報を定義することが
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
60
できます。
Step 4.
お使いになる SNMP のバージョンを選択します。
SNMP v2c をお使いになる場合、SNMP V2c agent を選択し、Community 欄に
コミュニティ名を入力します。
SNMP v3 をお使いになる場合、SNMP v3 agent を選択します。ｖ3 に関連
するパラメータの入力欄が展開されるので、以下の通り入力をしていきます。
をクリックします。
Step a.
Step b.
Username 欄に、SNMP エンティティが使用しているユーザ名を入力しま
す。
Step c.
Auth.method 欄で、認証方法(MD5、SHA1)を選択します。
Step d.
Auth.password 欄に、SNMP エージェントが用いているパスワード
を入力します。
Step e.
Encryption method 欄で、暗号化方法(Disabled、DES、AES)を選択しま
す。
Step f.
Encryption password 欄に、暗号化で用いるパスワードを入力します。
Step g.
さらにエンティティを追加する場合、
をクリックします。
注記
SSB は 150 文字以内のパスワードが使用できます。以下の特殊文字が利用できます。
!"#$%&'()*+,-./:;<=>?@[\]^-`{|}
Step 5.
4.6
をクリックします。
SSB のシステム監視設定
SSB は、ハードウェア及びその環境に関する、数々のパラメータを継続的に監視しています。
パラメータが閾値に近くなると、(値は、各項目の Maximum 欄に定義されている)SSB は管理者
に向け、E メール及び SNMP アラートを発し警告します。
SSB は、デフォルトでは SNMP アラートを管理インターフェイス経由で送信します。管理インター
フェイスが設定(有効化)されていない場合のみ、外部インターフェイス経由で送信します。SSB
は、SNMP v2c と SNMP v3 をサポートします。Management タブにて定義されている SNMP
サーバーは、SSB の状態を問合せすることができます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
61
ヒント
お使いの監視システムが SSB の SNMP アラートを検知できるよう、SSB 独自の MIB をイ
ンポートしておいてください。以下から MIB をダウンロードし、お使いの監視システムにイ
ンポートしてください。
Basic Settings > Alerting & Monitoring > Download MIBs
図表 4.16 SNMP と E メールアラートの設定
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
62
4.6.1 監視の設定
目的：
システム監視に関する項目を設定する方法を説明します。
Step：
Step 1.
Basic Settings > Alerting & Monitoring の順にクリックします。
Step 2.
デフォルトの閾値は、ほとんどのご使用環境に適合します。必要なときのみ、
閾値を変更してください。
Step 3.
Step 4.
をクリックします。
Basic Settings > Management の順にクリックし、SNMP 及びメールの設定が正
しいかどうか、再度確認してください。SSB は、設定された E メールアドレス
と SNMP サーバーにのみ、アラートを送信します。
警告
これらの設定が正しくない場合、アラートの送信は失敗します。
以下に記述するセクションは、アラート受信が可能なパラメータに関して説明しています。
システムヘルスのアラートに関しては、4.6.2 システムヘルス監視
システム監視のアラートに関しては、4.6.5 システム関連のトラップ
シスログ関連のアラートに関しては、4.6.6 syslog-ng に関するアラート
を、それぞれご参照ください。
4.6.2 システムヘルス監視
Disk utilization maximum：
ハードディスク内の使用可能な空き領域の割合です。ログファイルが設定された値以上
の領域を使おうとすると SSB はアラートを送信します。バックアップサーバーの空き領域
にログファイルをアーカイブしてください。詳しくは、4.8 アーカイブとクリーンナップをご
参照ください。
注記
アラートメッセージには、実際のディスク使用率が含まれます。設定の上限
値でないことに注意してください。例えば、ディスク使用率が 10％を越えた
際にアラートを出すと設定したとします。ここで使用率が 17％になったとす
ると、SSB は次のようなアラートメッセージを発します。"less than 90 %
free(=17%)" これは、使用されているディスク領域が合計で 10％を超えたこ
とを示しています。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
63
Load 1|5|15 maximum：
過去 1・5・15 分間の、SSB の平均システム負荷を設定します。
Swap utilization maximum：
SSB が使用するスワップ領域を設定します。設定値以上のスワップ領域を SSB が
使おうとすると、アラートを送信します。
4.6.3 ディスクスペース飽和防止手順
目的：
ディスクがいっぱいになるのを防止する方法を説明します。
Step：
Step 1.
Basic Settings > Management > Disk space fill up prevention の順にクリックし
ます。
Step 2.
最大ディスク使用量をパーセントで該当のフィールドに設定して下さい。ディスク
スペースが設定したリミットを超えて使用されると、SSB は全てのクライアントを
切断します。0 を入力すると、この機能がオフになります。デフォルト値は 0 で
す。
Step 3.
オプション：ディスク使用がリミットを超えた時、全ての設定されたアーカイブ/ク
リーンアップジョブが自動的にスタートするようにするためには、Automatically
start archiving オプションを有効にしてください。
注記
ひとつもアーカイブポリシーが存在しない場合は、このオプションを有
効にしても自動アーカイブは始まりません。
Step 4.
Basic Settings > Alerting & Monitoring > System related traps の順にクリックし、
Disk usage is above the defined ratio.アラートを有効にします。
Step 5.
ボタンをクリックします。
4.6.4 メッセージレートアラートの設定
目的：
メッセージレートアラートによって、SSB の以下の異常を検出できます。
SSB 内の syslog-ng が停止した。
クライアント/サイトの内の一つがログを送信していない。
クライアント/サイトの内の一つがおそらく不必要に非常に多いログを送信している。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
64
メッセージレートアラーティングは、Souces,Spaces,Destinations(リモート、またはローカル)に設定
可能です。
Step：
Step 1.
Log をクリックし、Sources,Spaces,または Destinations を選択します。.
Step 2.
Message rate alerting を有効にします。
Step 3.
Sources の場合、以下のカウントが計測できます。
Messages：.メッセージ数
Messages/ sender：.送信者【ラストホップ】ごとのメッセージ数
Messages/ hostname：.メッセージ内のホスト名に基づいたホストごとのメッセージ数
Spaces または Destinations の場合、カウンターはメッセージ数です。
Step 4. 計測される期間（5 分から 24 時間）を選択してください。
Step 5. 正常と判断されるレンジを Minimum と Maximum フィールドに入力してください。
Step 6. Alert フィールドでアラート頻度を選択してください。Once:ひとつのアラートのみ送信（そし
て、問題が解決した後、“Fixed メッセージ”を送信）。Always:警告結果がセットしたレン
ジをはずれた場合、その都度アラートを送信。
例 4.2 早期のアラート（early time alert）を作成する
早期のアラートを作成したい場合は、マスターアラートでは無い通常ア
ラートを非常に少ない最少メッセージ数と短いチェック間隔で作成しま
す。
図表 4.17 早期アラートの作成
Step 7. もし、一つ以上のメッセージレートアラートを設定した場合、マスターアラートを設定できま
す。マスターアラートを設定するには、Master alert チェックボックスを選択します。
マスターアラートが発生し、継続している間は、当該の source / destination / space の他
の全てのアラートは抑制されます。マスターアラートは割り当てられた時間（タイムスロッ
ト）に発生する他のアラートのみブロックします。24 時間アラートは、例えば、00：05 に起
動されるアラートをブロックしません。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
65
マスターアラート設定の例
マスターアラートを短いチェック間隔（可能であれば、5 分）で設定します。
マスターアラートを、抑制するアラートよりも短い間隔で設定します。
マスターアラートを、抑制するアラートよりもより緩慢な限度で設定します。
マスターアラート設定の例
例 4.3 予期しないイベントを示すマスターアラートの使用
ユーザは２つのリレー（sender）と 10 個のホストを一つのリレーごと
(=20 ホスト)に持っている。それぞれのホストは約 5-10 メッセージを 5
分毎に送信している。2 つのメッセージレートアラートが設定されてお
り、予期しない多くのイベントを示す 1 つのマスターアラートがある。ホ
ストが検出できない、おそらく停止している場合、あるいは、エラーの
ためホストが過剰に多くのログを送信しているといったイベントが考え
られる。以下の設定は、これらのエラーを不必要なアラートを多数受
けることなく検出することを可能にします。
図表 4.18 予期せぬイベントのためのマスターアラート使用
Step 8. オプションの手順：グローバルアラートは内部メッセージも含む sources に syslog-ng が受
信した全てのメッセージを集計します。
Step a Log > Options > Message rate alerting statistics をクリックします。グロー
バルアラートを追加するために Global alerts の
ボタンをクリックします
Step b 計測期間（5 分から 24 時間）を選択します
Step c 正常と思われる範囲を Minimum と Maximum フィールドに入力します。
Step d Alert フィールドにアラート頻度を選択します。Once:ひとつのアラートのみ
送信（そして、問題が解決した後、“Fixed メッセージ”を送信）。Always:警
告結果がセットしたレンジをはずれた場合、その都度アラートを送信。
Step e システム全体のマスターアラートを設定したい場合、Global master alert.を
選択してください。Global master alert がトリガーされると、他の全てのログ
レートアラートが抑制されます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
66
注記
以下のケースにおいて、いわゆる“always”タイプのスーパーマスター
アラートが自動的にトリガーされます。
全てあるいはいくつかの syslog-ng の統計が取得できないとき、アラー
トが送信され、他のエラーはこのエラーが修復されるまで、抑制されま
す。
なんらかの原因で、ｓｙｓlog-ng が処理できない量の統計（例：不正な
入力データなどによるもの）を送信するとき、同様のスーパーマスター
アラートがトリガーされ、インプットの処理を停止します。
Step 9. オプションのステップ：Log > Options > Message rate alerting statistics をクリックします。
アラートが溢れることを防止するため、Limit of alerts sent out in a batch に受信したいア
ラートの最大数を設定します。SSB は、設定数になるまでアラートを送信し、過剰な数の
アラートが生成されたことを示す一つのアラートの後、それ以上のアラートを送りませ
ん。
警告
データ損失の危険。定義した限界数を超えた分のアラートは届かなく
なります。
4.6.5 システム関連のトラップ
トラップ名
Login failed
Successful login
Logout from the
management interface
Configuration changed
General alert
General error
SNMP アラート ID
説明
xcbLoginFailure
xcbLogin
xcbLogout
SSB の Web インターフェイスからのログイン失敗
SSBWeb インターフェイスからのログイン成功
SSBWeb インターフェイスからのログアウト
xcbConfigChange
xcbAlert
xcbError
SSB の設定変更全て
全般的なアラートまたはエラーメッセージ
注記
SSB のシステムログに、アラートまたはエラーに
相当するメッセージが含まれていた場合、ここで
設定するアラート及びエラーが常に送信されま
す。何度も送信されるので、デバッグの時などを
除き、有効化しないほうがよいでしょう。有効にす
ると、E メールまたは SNMP トラップのメッセージ
が、同一イベントに対して多数送信される恐れが
あります。
バックアッププロシージャが失敗したときにアラー
トを送信
Data and configuration xcbBackupFailed
backup failed
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
67
Data archiving failed
xcbArchiveFailed
Database error
occurred
xcbDBError
License limit reached
HA node state
changed
Timestamping error
occurred
Time sync lost
Raid status changed
Hardware error
occurred
Firmware is tainted
Disk usage is above
the defined ratio
xcbLimitReached
xcbHaNodeChanged
xcbTimestampError
xcbTimeSyncLost
xcbRaidStatus
xcbHWError
xcbFirmwareTainted
xcbDiskFull
アーカイブプロシージャが失敗したときにアラート
を送信
SSB がアラートやアカウント情報を蓄積している
データベースにエラーが発生。弊社までご連絡く
ださい。
クライアント数が上限に達した
マスターからスレーブへのフェイルオーバー発生
等、ハイアベイラビリティの状態に変化が起こった
タイムスタンプサーバーが応答しない等、タイムス
タンプ付与時にエラーが発生した
システム時刻の同期がずれた
ノードの RAID の状態に変化が起こった
SSB が、ハードウェアのエラーを検知した
ユーザがコンソールからファイルを変更した
ディスク容量が Disk space fill up prevention に設
定したリミットを越えて使用された
表 4.1 システム関連のトラップ
4.6.6 syslog-ng に関するアラート
トラップ名
SNMP アラート ID
syslog-ng failure
syslogngFailureTrap
Remote syslog-ng
peer configuration
changed
peerConfigChange
Trap
Logspace exceeded
warning size
Message rate was
outside the
specified limits
Too many message
rate alerts were
generated
Error during
syslog-ng traffic
spaceSizeLimit
ssbAbsoluteMessageRateAlert
説明
syslog-ng アプリケーションが正しく起動し
なかった、想定外に終了した、あるいは
他の問題に直面した。エラーの内容によ
っては、SSB がログメッセージを受け取れ
なかったり、転送ができなくなったりする。
ネットワーク上で稼動しているマシンの
syslog-ng アプリケーションの設定に変更
が加えられた。この様な設定変更は、そ
のマシンに syslog-ng の 3.0 以降か、3.0
以降の syslog-ng エージェントがインスト
ールされており、かつ、内部のソースから
メッセージが送信されている場合に限り、
検知できる。
閾値として設定した領域のサイズを、ログ
のスペースが超過した
メッセージレートが指定したレンジよりも
高いまたは低い
ssbRateLimitTooManyAlerts
メッセージレートアラート数が警告リミット
で設定したサイズを超過した。
ssbStatisticsError
統計情報（メッセージの受信・転送・保存・
破棄数）の検索中や処理中にエラー発
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
68
statistics
processing
Error during an
sql-source related
operation
生。
ssbSqlSourceAlert
SQL サーバーに接続やログインできな
い、SQL テーブルが見つからない、また
は、SQL クエリの実行に問題がある、例
えば、データベースにアクセスするのに
不十分な権限。
表 4.2 syslog-ng 関連のアラート
4.7
データと設定のバックアップ
バックアップは、エラー時のリカバリーに使用できる SSB の設定情報やデータのスナップショット
を作成します。SSB は、自動でバックアップ（設定情報やログデータ）をリモートサーバーに作成
することができます。バックアップを設定するには、まずバックアップポリシーを作成する必要が
あります。そして、設定情報のバックアップ用にシステムバックアップポリシー、または、ログス
ペース用にデータバックアップポリシーを設定します。
バックアップは、ターゲットのディレクトリから全データを削除します。これは、バックアップをリス
トアすると SSB から全データが削除されることになります。バックアップした設定情報とデータの
リストアの詳細については、16.7 SSB の設定情報とデータのリストア をご参照ください。
4.7.1 バックアップのポリシーを定義
バックアップポリシーは、バックアップサーバーへのアクセス方法（使用するプロトコルなど）を定
義します。
Step：
Step 1.
Policies > Backup & Archive/Cleanup の順にクリックします。新たなバックアップポリシ
ーを作成するには、Backup policies セクションで をクリックして、入力欄を展開させま
す。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
69
図
あ
表 4.19 バックアップの設定
Step 2. バックアップポリシーの名称を決定し、青い帯の部分の欄に入力します。
(例：config-backup)
Step 3. Start time 欄に、バックアップが起動する時刻を hh:mm 形式で入力します
（例：23:00）
Step 4. Target server 欄に、バックアップ先となるリモートサーバーの IP アドレスまたはホスト名を、
入力します。(例 backup.example.com)
Step 5. SSB はリモートサーバーに、幾つかの異なったプロトコルを経由してアクセスできます。利
用可能なプロトコルを以下から選択してください。
Rsync over SSH：セキュアシェルプロトコルで、rsync コマンドを実行します。バックアップ
サーバーで、rsync のバージョン 3.0 以降が実行可能であることが必須です。
SMB/CIFS：マイクロソフト・Windows ネットワークにおける SMB
(サーバーメッセージブロックプロトコル)
警告
NetApp(ネットアップ)ストレージデバイスの、CIFS 実装は、SSB の CIFS とは互換性が
ありません。したがって、SSB から、CIFS プロトコルを使用するネットアップデバイスへ
のバックアップやアーカイブは失敗します。この際、以下のようなエラーメッセージを出
力します。/opt/ssb/mnt/14719217504d41370514043/reports/2010": Permission
denied (13) '2010/day/' rsync: failed to set times on
回避するには、以下のいずれかを行ってください。
①NFS プロトコルでアクセスする
②SSB と互換性のある CIFS 実装のデバイスを使用する。例えば、Windows、または
Linux の Samba。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
70
警告
NTLMv2 認証を利用する Windows 2008 R2 にバックアップあるいはアーカイブを行うた
めに、CIFS プロトコルを使用すると、オペレーションは以下のようなエラーとともに失
敗します。
CIFS VFS: Unexpected SMB signature
Status code returned 0xc000000d NT_STATUS_INVALID_PARAMETER
CIFS VFS: Send error in SessSetup = -22
CIFS VFS: cifs_mount failed w/return code = -22
CIFS VFS: Server requires packet signing to be enabled
in /proc/fs/cifs/SecurityFlags.
CIFS VFS: cifs_mount failed w/return code = -95
CIFS VFS: Server requires packet signing to be enabled
in /proc/fs/cifs/SecurityFlags.
CIFS VFS: cifs_mount failed w/return code = -95
この問題を回避するには以下を実施してください。
・Windows 2008 R2 サーバーにアクセスするのに NFS プロトコルを使用する。
・Windows 2008 R2 サーバーのレジストリを編集するか、ホットフィックスを適用する。
詳細は、Microsoft® Support サイトの Article 957441
（http://support.microsoft.com/kb/957441）をご参照ください。
NFS：ネットワークファイルシステムプロトコル
Step 6. 選択したプロトコル固有の設定値を入力します。各プロトコル固有の設定値については、
4.9 バックアップとアーカイブプロトコルのパラメータ をご参照ください
Step 7. バックアップに関してのメールを受信したい場合は、Send notification on errors only また
は Send notification on all events のどちらかを ON にします。通知は、Management タブ
内で設定した、管理者のメールアドレスに向けて送信されます。
メールにファイルのリストを含めるには、Send notification on all events を選び、Include
file list オプションを有効にします。しかしながら、ファイルリストが長い場合、SSB の Web
インターフェイスにアクセスできなくなる可能性があり注意が必要です。その可能性があ
る場合、Maximum number of files in notification を低く設定します。この値に達するとそ
れ以降、ファイル名は省略されて通知されます。
注記
ここでの E メール通知は、"Alerting & Monitoring" タブ内で設定したメール送
信設定とは別です。ここでの通知メールは管理者のアドレスに送信され、アラ
ートメールは、アラート受信者として設定されたアドレスに向けて送信されま
す。(4.6 SSB のシステム監視設定をご参照ください。)
Step 8.
をクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
71
4.7.2 設定情報のバックアップを作成
設定情報のバックアップを作成するには、System backup policy としてバックアップポリシーを
設定します。
ヒント
設定ファイルを、リモートサーバー向けでなく即座にバックアップしたい場合は、Basic
settings > System > Export configuration の順にクリックしてエクスポートします。
エクスポートしたファイルは、システム設定、設定ファイル、そして変更ログのみが含まれ
ます。システムバックアップには、レポート、アラートなど、さらに多くの情報が含まれます。
Step：
Step 1.
Basic settings > Management > System backup の 順 に ク リ ッ ク し ま す 。
図表 4.20 システムバックアップの設定
Step 2.
System backup policy 欄から、SSB の設定情報のバックアップ用にバックアップポリ
シーを選択します。
Step 3.
Step 4.
をクリックします。
オプション：バックアップを即時に開始する場合、Backup now をクリックします。
Backup now の機能は、バックアップポリシーが選択されコミットされた後でのみ動作
するので注意してください。
4.7.3 データのバックアップを作成
データのバックアップを作成するために、ログスペースにバックアップポリシーを設定します。
Step：
Step 1. Log > Spaces の順にクリックします。
Step 2. Backup policy 欄からバックアップポリシーを選択します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
72
Step 3.
をクリックします。
Step 4. オプション：バックアップを即時に開始する場合、Backup または Backup ALL をクリック
ししてください。Backup と Backup ALL の機能は、バックアップポリシーが選択されコミッ
トされた後でのみ動作するので注意してください。
4.7.4 設定情報を GPG で暗号化してバックアップ
SSB の設定ファイルを、GPG キーの公開鍵を使用して暗号化することができます。システムバッ
クアップは他の情報（例：データベース）も含んでいますが、設定ファイルのみが暗号化されます。
システムバックアップはログスペースのデータを含んでいないことに注意してください。
アップロードされた GPG キーは、データを暗号化することが許可されている必要があります。署
名のみに使用することができるキーは、設定ファイルの暗号化には使用できませんので注意し
てください。
注記
GPG で暗号化された設定ファイルは、SSB に直接インポートすることはできませ
んので、事前に復号しておく必要があります。
設定情報のバックアップからリストアする詳細は、16.7 SSB の設定情報とデータのリストア を
ご参照ください。
Step：
Step 1. Basic Settings > Management > System backup の順にクリックします。
Step 2. Encrypt the configuration を選択します。
Step 3. アップロードのアイコン
を選択します。
キーファイルをアップロードするには、Browse（参照）をクリックし、GPG の公開鍵が入っ
ているファイルを選択、そして、Upload をクリックします。
クリップボードからキーを copy-paste（コピーペースト）するには、Key 欄にそれをペース
トし、Set をクリックします。
Step 4.
をクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
73
4.8
アーカイブとクリーンナップ
アーカイブは、データを SSB から外部ストレージに転送するソリューションです。クリーンナップは、
古いファイルを削除します。アーカイブしたデータは、アクセスと検索ができますが、SSB にリスト
アする（戻す）ことはできません。
データをアーカイブするには、アーカイブポリシーを作成し、ログスペースに設定しなければなりま
せん。
4.8.1 アーカイブポリシーの作成
アーカイブポリシーには、リモートストレージの場所、、アクセスに使うプロトコル、その他のパラ
メータを定義します。
Step 1. Policies > Backup & Archive/Cleanup を順にクリックし、新しいアーカイブポリシーを作
成するには、Archive/Cleanup policies 内の
をクリックします。
図表 4.21 バックアップとアーカイブの設定
Step 2. アーカイブポリシーの名称を入力します。
Step 3. アーカイブを開始する時間を Start time 欄に HH:MM 形式（例：23:00）で入力します。
Step 4. SSB はリモートサーバーを異なったプロトコルでアクセスすることができます。どれを使
用するか選択します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
74
Only cleanup, no archiving: サーバーにデータをアーカイブしません。Retention time
in days より古いデータを削除します。
警告
No archiving は、全ログファイルとデータを削除してしまいます。Retention
time in days より古いデータは、バックアップコピーやアーカイブが作成され
ずに削除され回復できずに喪失しますので、注意して利用してください。
SMB/CIFS：マイクロソフト Windows ネットワークで用いられる、サーバーメッセージ
ブロックプロトコル
警告
NetApp(ネットアップ)ストレージデバイスの、CIFS 実装は、SSB の CIFS とは
互換性がありません。したがって、SSB から、CIFS プロトコルを使用するネッ
トアップデバイスへのバックアップやアーカイブは失敗します。この際、以下
のようなエラーメッセージを出力します。
/opt/ssb/mnt/14719217504d41370514043/reports/2010": Permission
denied (13) '2010/day/' rsync: failed to set times on
回避するには、以下のいずれかを行ってください。
①NFS プロトコルでアクセスする
②SSB と互換性のある CIFS 実装のデバイスを使用する。例えば、
Windows、または Linux の Samba。
警告
NTLMv2 認証を利用する Windows 2008 R2 にバックアップあるいはアーカイブ
を行うため、CIFS プロトコルを使用すると、オペレーションは以下のようなエラ
ーとともに失敗します。
CIFS VFS: Unexpected SMB signature
Status code returned 0xc000000d NT_STATUS_INVALID_PARAMETER
CIFS VFS: Send error in SessSetup = -22
CIFS VFS: cifs_mount failed w/return code = -22
CIFS VFS: Server requires packet signing to be enabled
in /proc/fs/cifs/SecurityFlags.
CIFS VFS: cifs_mount failed w/return code = -95
CIFS VFS: Server requires packet signing to be enabled
in /proc/fs/cifs/SecurityFlags.
CIFS VFS: cifs_mount failed w/return code = -95
この問題を回避するには以下を実施してください。
・Windows 2008 R2 サーバーにアクセスするのに NFS プロトコルを使用する。
・Windows 2008 R2 サーバーのレジストリを編集するか、ホットフィックスを適用
する。
詳細は、Microsoft® Support サイトの Article 957441
（http://support.microsoft.com/kb/957441）をご参照ください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
75
NFS：ネットワークファイルシステムプロトコル
警告
既存のポリシーの接続プロトコルを変更した場合（例：NFS から SMB/CIFS
へ）、古いアーカイブへアクセスできなくなります。これを避けるためには、新
しいポリシーを作成し新しい接続プロトコルを使用して影響を受けるログス
ペース（Log > Spaces > ログスペース名 > Archive/Cleanup policy）に設定
します。この方法で新旧のアーカイブをアクセスすることができます。
Step 5. Target settings > Target server 欄に、アーカイブ先となるリモートサーバーの IP アドレ
スまたはホスト名を入力します。（例：backup.example.com）
Step 6. Retention time in days 欄を入力します。ここで指定された期間より古いデータのみ、リモ
ートサーバーにアーカイブされます。
注記
アーカイブされたデータは、SSB からは削除されます。
Step 7. プロトコル固有のパラメータを設定します。詳細は、4.9 バックアップとアーカイブプロト
コルのパラメータ をご参照ください。
Step 8. アーカイブに関しての通知メールを受信したい場合は、Send notification on errors only
または Send notification on all events のいずれかを選択します。通知メールは、
Management タブ内で設定した、管理者のメールアドレスに向けて送信されます。バック
アップ/アーカイブされたファイルの一覧が含まれます。
注記
ここでの E メール通知は、"Alerting & Monitoring" タブ内で設定したメール送
信設定とは別です。ここでの通知メールは管理者のアドレスに送信され、アラ
ートメールは、アラート受信者として設定されたアドレスに向けて送信されま
す。4.6 SSB のシステム監視設定をご参照ください。
Step 9.
をクリックします。
4.8.2 収集したデータをアーカイブする
データのアーカイブを設定するには、アーカイブポリシーをログスペースに設定します。
Step：
Step 1. Log > Spaces の順にクリックします。
Step 2. ログスペースを選択します。
Step 3. Archive/Cleanup policy 欄からアーカイブポリシーを選択します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
76
Step 4.
をクリックします。
Step 5. オプション：アーカイブをすぐ開始したい場合、Archive now をクリックします。Archive
now 機能は、アーカイブが設定された後のみ動作します。
4.9
バックアップとアーカイブプロトコルのパラメータ
この章では、データバックアップとアーカイブに使用されるプロトコルの詳細を説明します。
Rsync に関しては、4.9.1 Rsync over SSH の設定 をご参照ください。
Samba に関しては、4.9.2 SMB の設定 をご参照ください。
NFS に関しては、4.9.3 NFS の設定 をご参照ください。
4.9.1 Rsync over SSH の設定
目的：
Rsync over SSH のバックアップ方式は、ターゲットサーバーに SSH で接続し、サーバーにデー
タをコピーするために"rsync" UNIX コマンドを発行します。SSB は、公開鍵で認証を行い、パス
ワード認証はサポートしていません。このプロトコルを使用する場合の設定を説明します。
警告
バックアップサーバーは、rsync のバージョン 3.0 以降が実装されている
必要があります。
Step：
Step 1. Target settings のラジオボタンから、Rsync over SSH を選択します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
77
図表 4.22 rsync を用いたバックアップの設定
Step 2. UserName 欄に、リモートサーバーにログオンするためのユーザ名を
入力します。
Step 3. Authentication key 欄の
をクリックします。ポップアップ ウィンドウが現れます。
Step 4. ポップアップ ウィンドウの Generate をクリックして新たな鍵ペアを生成するか、既存のキ
ーをアップロードまたはペーストします。このペアは、リモートサーバーが SSB を認証する
際に用いられます。この鍵ペアの公開鍵が、リモートサーバー側にインポートされている
必要があります。
Step 5. Server host key 欄の
をクリックします。ポップアップ ウィンドウが現れます。
Step 6. Query をクリックして、サーバーのホストキーをダウンロードします。あるいは、キーを手動
でアップロードするか、貼り付けをします。SSB は、サーバーが提示したホストキーと、ここ
で設定したキーとを比較して認証します。一致した場合のみ、接続を許可します
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
78
図表 4.23 SSH キーの設定
Step 7. Port 欄に SSH サーバーのポート番号を入力します。
Step 8. Path 欄に、リモートサーバーのバックアップ用ディレクトリへのパスを入力します（例：
/backups）。SSB は、自動的にログスペースのために、サブディレクトリを作成し、データ
を保存します。その結果、複数のログスペースのために同じバックアップポリシーを使用
することができます。ログスペースがリネームされた場合でもリストアを実行できるように、
サブディレクトリはログスぺ―ス固有の永続的内部 ID を使用して作成されます。手動で
のデバッグを容易にするため、ログスペースの内部 ID を含むテキストファイルも、ログス
ペース名を付けてディレクトリ内に保存されます。このテキストファイルは、トラブルシュー
ティング目的のために提供され、SSB では使用されません。
Step 9.
をクリックします。
4.9.2 SMB の設定
目的：
SMB/CIFS のバックアップ方式は、ターゲットサーバーの共有領域に、サーバーメッセージブロック
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
79
プロトコルで接続します。主に、Windows ネットワークで使用されます。SMB/CIFS プロトコルを使
用する際の設定方法を説明します。
警告
NetApp(ネットアップ)ストレージデバイスの CIFS 実装は、SSB の CIFS とは互換性があ
りません。したがって、SSB から、CIFS プロトコルを使用するネットアップデバイスへの
バックアップやアーカイブは失敗します。この際、以下のようなエラーメッセージを出力
します。/opt/ssb/mnt/14719217504d41370514043/reports/2010": Permission denied
(13) '2010/day/' rsync: failed to set times on
回避するには、以下のいずれかを行ってください。
①NFS プロトコルでアクセスする
②SSB と互換性のある CIFS 実装のデバイスを使用する。例えば、
Windows、または Linux の Samba
警告
NTLMv2 認証を利用する Windows 2008 R2 にバックアップあるいはアーカイブを行うた
めに、CIFS プロトコルを使用すると、オペレーションは以下のようなエラーとともに失敗
致します。
CIFS VFS: Unexpected SMB signature
Status code returned 0xc000000d NT_STATUS_INVALID_PARAMETER
CIFS VFS: Send error in SessSetup = -22
CIFS VFS: cifs_mount failed w/return code = -22
CIFS VFS: Server requires packet signing to be enabled
in /proc/fs/cifs/SecurityFlags.
CIFS VFS: cifs_mount failed w/return code = -95
CIFS VFS: Server requires packet signing to be enabled
in /proc/fs/cifs/SecurityFlags.
CIFS VFS: cifs_mount failed w/return code = -95
この問題を回避するには以下を実施してください。
・Windows 2008 R2 サーバーにアクセスするのに NFS プロトコルを使用する。
・Windows 2008 R2 サーバーのレジストリを編集するか、ホットフィックスを適用する。
詳細は、Microsoft® Support サイトの Article 957441
（http://support.microsoft.com/kb/957441）をご参照ください。
Step：
Step 1.
Target settings のラジオボタンから、SMB/CIFS を選択します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
80
図表 4.24 DMB/CIFS 経由でバックアップを設定
Step 2.
Username 欄に、リモートサーバーにログオンするためのユーザ名を入力するか、
Anonymous オプションを選択します。
Step 3.
Password 欄に、ユーザ名に対応するパスワードを入力します。
注記
SSB は 150 文字以内のパスワードが使用できます。以下の特殊文字が利用で
きます。
!"#$%&'()*+,-./:;<=>?@[\]^-`{|}
Step 4.
Share 欄に、共有領域の名称を入力します
SSB は、この共有ディレクトリ下に自動でサブディレクトリを生成し、それらに全
てのデータを格納します。"data"サブディレクトリに、ログファイルのバックアップ、
"config"サブディレクトリに、設定ファイルのバックアップが入ります
Step 5.
Domain 欄に、ターゲットサーバーのドメイン名を入力します。
Step 6.
をクリックします。
4.9.3 NFS の設定
目的：
NFS のバックアップ方式は、ネットワークファイルシェアプロトコルを用いて、ターゲットサーバー
の共有ディレクトリに接続します。設定を行うには、Export 欄に、NFS のエクスポート名（共有ディ
レクトリ名）を入力する必要があります。SSB は、この共有ディレクトリに自動でサブディレクトリを
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
81
生成し、それらに全てのデータを格納します。
図表 4.25 NFS バックアップの設定
リモートサーバーには、SSB からのバックアップを許可するよう、設定しておく必要があります。
NFS バックアップの設定手順を説明します
注記
これらの手順は SSB ではなくリモートサーバー上で行います。
Step：
Step 1. バックアップサーバーの /etc/exports ファイルに、SSB の設定に対応する 1 ラインを追加
します。そのラインには以下のパラメータが含まれます。
SSB のバックアップやアーカイブポリシーの Export 欄に設定されるバックアップディレ
クトリへの path
SSB の IP アドレス。External インターフェイス、または、management インターフェイス
が有効にされ正しく設定されている場合は management インターフェイスの IP アドレ
スです。詳細は、4.3 ネットワーク設定 をご参照ください。
次のパラメータ（rw, no_root_squash, sync)
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
82
例 4.4：リモートサーバー上で NFS を設定する
SSB が 192.168.1.15 で接続するとし、データを /var/backups/SSB ディレクトリ
に保存したい場合、スクリプトは以下のようになります。
/var/backups/SSB 192.168.1.15(rw, no_root_squash,sync)
次のラインを /etc/exports ファイルに追加してください。
/var/backups/SSB 192.168.1.15(rw, no_root_squash,sync)
Step 2. 次のコマンドを実行します： exportfs –a
Step 3. rpc portmapper と rpc.statd アプリケーションが動作していることを確認します。
4.9.4 バックアップファイルの所有権
バックアップに用いるプロトコルが異なれば、バックアップされたファイルに付与される所有権も
異なります。以下は、それぞれのプロトコルに対する所有権です。
rsync：Web GUI で、設定時に入力したユーザ名
SMB：Web GUI で、設定時に入力したユーザ名
NFS：root(no_root_squash 付き）、それ以外は nobody。
警告
既にリモートサーバーにバックアップ済のファイルの所有権を SSB が変更することは
できません。既にファイルが保存されている同一サーバー・同一ディレクトリに向け
て、異なるプロトコルでバックアップをする際は、保存済のファイルの所有権を、これ
から使用するバックアッププロトコルに合うように変更することを必ず行ってください。
そうでないと、SSB はファイルの上書きができず、バックアップが失敗します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
83
5
ユーザ管理とアクセス制御
AAA メニュー（Authentication：認証、Authorization：許可、Accounting：アカウンティング）から、ユ
ーザのアクセス制御の設定ができます。このセクションでは、以下の項目は次の章から説明しま
す。
ローカル環境で SSB が認証する方法 － 5.1 SSB ユーザをローカル環境で管理する
外部 LDAP データベース(例：Microsoft Active Directory)によるユーザ認証 －
5.4 LDAP データベースによる SSB ユーザの管理
外部 RADIUS サーバーによるユーザ認証方法 － 5.5 RADIUS サーバーでユーザ認証
する
ユーザ及びユーザグループの特権を管理する － 5.6 ユーザ権限とユーザグループを
管理する
SSB の設定に対する変更履歴を記録する － 5.7 設定に対する変更を一覧化し検索
する
5.1
SSB ユーザをローカル環境で管理する
目的：
デフォルトでは、SSB ユーザはローカル環境で管理されます。ここでは、ローカルユーザの
作成／削除、ユーザの参加グループの変更、パスワードの変更について説明します。
注記
"admin"ユーザは、デフォルトで設定されており、全ての特権を有します。また、削除するこ
とはできません。
LDAP 認証が行われているときは、ローカルユーザの管理はできません。(5.4 LDAP
データベースによる SSB ユーザの管理 をご参照ください) LDAP 認証が有効になっている
場合、ローカルユーザのアカウントは無効になっており、AAA > Local Users
ページに表示がされませんが、削除されているわけではありません。
RADIUS サーバーによる認証をローカルユーザと共に行っている場合、ローカルユーザも
RADIUS によって認証されます。ユーザのグループメンバーシップだけは、ローカル環境で
管理する必要があります。詳細は、5.5 RADIUS サーバーでユーザ認証する をご参照くださ
い。
Step：
Step 1.
AAA > Local Users の順にクリックし、 をクリックして入力欄を展開させます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
84
図表 5.1 ローカルユーザの設定
Step 2.
User 欄にユーザ名を入力します。
注記
次に挙げる文字は、ユーザ名に使用できません。
/ [ ] : ; | = , + * ? < > と、\(英語キーボードの場合バックスラッシュ)
Step 3.
Password 欄にパスワードを入力、Verify password 欄に確認のため再入力しま
す。パスワードの安全性が、入力欄の下に表示されます。パスワード安全性に
関する設定を行うには、5.2 ローカルユーザのパスワードポリシーを設定するを
ご参照ください。ユーザは、SSB の Web インターフェイスで、自分のパスワード
を後で変更することができます。
注記
SSB は 150 文字以内のパスワードが使用できます。以下の特殊文字が利用
できます。
!"#$%&'()*+,-./:;<=>?@[\]^-`{|}
Step 4.
Groups セクションの をクリックしてプルダウンを表示させ、ユーザに付与され
る権限のグループを選択します。一つのユーザに複数の権限グループを付与
するには、このステップを繰り返します。異なるグループに関して詳細は、5.6 ユ
ーザ権限とユーザグループを管理するをご参照ください。
グループからユーザを外すには、グループのプルダウン右の をクリックします。
ユーザを削除するには、そのユーザ設定欄の一番右側にあるを クリックします。
Step 5.
5.2
をクリックします
ローカルユーザのパスワードポリシーを設定する
目的：
SSB では、パスワードの最低限の強度と有効期間の設定を強制するため、パスワードポリシーを
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
85
使用することができます。パスワードポリシーに関しての設定を説明します。
注記
パスワードポリシーは、ローカル環境で管理されるユーザのみカバーします。
LDAP 及び RADIUS サーバーで管理されるユーザに対しては何の影響も
ありません。
また、もともと組み込まれている admin ユーザにも影響しません。
Step：
Step 1. AAA > Settings の順にクリックします。
図表 5.2 パスワードポリシーの設定
Step 2.
Authentication method(認証方法)が、"Password provided by database"、User
database が"Local" であることを確認します。
注記
LDAP または RADIUS 認証に設定されている場合、SSB はパスワードの
ローカル管理を行いません。
Step 3.
Password expiration 欄に、一度設定したパスワードがどのくらいの期間有効か
を入力します。この期間が経過すると、ユーザはパスワードの変更をしなくては
なりません。有効期間を設定したくない場合は、この欄に 0 を入力します。
Step 4.
パスワードの使いまわし(例：有効期間が切れるたびに、2 回前に使っていたパ
スワードを再入力する、つまり 2 種類だけのパスワードを交互に使う)を防止す
るためには、Number of passwords to remember 欄に、使用履歴のあるパスワ
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
86
ードが再使用できるようになるまで、新たなパスワードを何種類使用せねばなら
ないか、を入力します。0 にすれば、制限なく使い回しを許可することになりま
す。
Step 5.
より安全性の高いパスワード設定を強制するなら、Minimal password strength
欄で、パスワードの複雑性を選択します。
注記
パスワードの安全性は、エントロピー(複雑さ)によって決まります。すなわち、数字
や文字の種類の多さ、大文字小文字の混ざり具合、特殊文字や記号の有無等で
す。単に長さだけではありません。
cracklib を Enable にすると、辞書ベースのパスワード総当りの簡易検査を行い、
パスワードの安全性チェックができます。
Step 6.
をクリックします。
注記
パスワードポリシーを変更しても、既に設定済みのパスワードに影響はありませ
ん。ただし、パスワードの有効期限を新たに設定した場合は、期限が切れた後は
全てのユーザがパスワードを再設定する必要があり、またパスワード安全性等、
最新の設定条件に全ユーザが従わなくてはなりません。
5.3
ローカルユーザグループを管理する
目的：
ユーザがどのローカルユーザグループに入っているかを表示させるには、
AAA > Group Management の順にクリックします。グループに含まれるユーザを変更することも
できます。ローカルグループを、SSB のローカルならびに LDAP ユーザの管理に用いることがで
きます。ファイルや設定を閲覧するのみ、変更も可、などです。ローカルユーザを管理すること
により、共有フォルダに対するアクセスをコントロールすることもできます。詳細は、8.6 ネットワ
ーク経由でログファイルにアクセスするをご参照ください。
組込み済のグループに関しては、5.6.5 SSB 組込みのユーザグループ をご参照ください。
新たなグループを作成する手順を説明します。
Step：
Step 1.
AAA > Group Management の順にクリックし、 をクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
87
図表 5.3 グループ管理
Step 2.
グループの名称を決めて、青地の入力欄に入力します。
Step 3.
プルダウンから、この権限グループを付与するユーザを選択します。複数の
ユーザに付与するなら、 をクリックしてプルダウンを追加表示させます。
Step 4.
5.4
最後に
をクリックします。
LDAP データベースによる SSB ユーザの管理
目的：
SSB の Web インターフェイスは、外部の LDAP サーバーに、ユーザ認証をゆだねることができま
す。これにより、SSB を既存のインフラに統合する作業が、単純化されます。複数の LDAP サー
バーを登録しておくことも可能で、こうすれば 1 台の LDAP サーバーがダウンしても、残りの
LDAP サーバーに接続して認証要求をすることができます。LDAP 認証の設定方法を説明しま
す。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
88
注記
admin ユーザはデフォルトで存在し、全ての特権を有します。削除することはできません。ま
た、LDAP サーバーによる認証が行われていても、SSB にログインすることができます。
LDAP 認証を有効にすると、全てのローカルユーザはアクセス不可になりますが、admin
は例外です。
SSB は、pre-win2000-style 及び Win2003-style のアカウント名(ユーザプリンシパル名)
を認識できます。ユーザプリンシパル名(UPNs)は、ユーザ名、＠、そしてドメイン名からなり
ます。例： [email protected]
次に挙げる文字は、ユーザ名に使用できません。
/ [ ] : ; | = , + * ? < >@ と、\(英語キーボードの場合、バックスラッシュ)
RADIUS サーバーによる認証と LDAP 認証を併用している場合、ユーザ自身は RADIUS
サーバーによって認証され、グループ権限の付与のみ、LDAP で管理されます。詳細は、
5.5 RADIUS サーバーでユーザ認証するをご参照ください。
警告
１つのユーザは、最大 10,000 グループに属することができます。
それ以上は設定できません。
警告
SSB は、デフォルトで LDAP サーバーへの問合せの際にネストされたグループを使用しま
す。Microsoft Active Directory でのユーザ認証では、ネストされたグループはたいていの場
合便利なのですが、LDAP ツリーが大きい場合はクエリの遅延や接続のタイムアウトが発生
する可能性があります。その場合、Enable nested group option を無効に設定してください。
Step：
Step 1. AAA > Settings > Authenticatin settings の順にクリックします。
Step 2. LDAP ラジオボタンを選択し、お使いの LDAP サーバーに関するパラメータを
入力します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
89
図表 5.4 LDAP 認証の設定
Step a.
Server address 欄に、お使いの LDAP サーバーのホスト名か IP アドレス、ポー
ト番号を入力します。SSB と LDAP 間の通信を暗号化するには、SSL/TLS の場
合には、ポート番号として 636、また、STARTTLS の場合、ポート番号として 389
を使用してください。
複数のサーバーを登録する場合は、 をクリックして、このステップを繰り返しま
す。SSB は、一つ目のサーバーにアクセスできなくなった際、フェイルオーバー
をして次に登録されている LDAP サーバーに、認証要求を出します。
警告
TLS 暗号化を、LDAP 接続の際の証明書検査に用いている場合は、Server address
欄には必ずフルドメイン名を入力してください。(例：ldap.example.com)
そうでないと、証明書検査で失敗します。LDAP サーバーのサーバー名は、証明書
の"Common Name" に記されているものでなければなりません。
Step b.
Type 欄で、お使いの LDAP サーバーの種類を選択します。マイクロソフト・アク
ティブディレクトリサーバーの場合は Active Directory を、POSIX LDAP
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
90
サーバーの場合は POSIX を選択します。
Step c.
Base DN 欄に、クエリのベースとなる DN(識別名)を入力します。
(例：DC=demodomain,DC=exampleinc)
Step d.
Bind DN 欄に、SSB がデータベースにアクセスする際にバインドされるべき識別
名を入力します。
例：CN=Administrator,CN=Users,DC=demodomai,DC=exampleinc.
注記
SSB ではアカウント名を、Windows2000 以前のスタイルでも Windows2003 スタイ
ル(ユーザプリンシパル名)でも認識できます。[email protected] も、
同じく受け付けられます。
sAMAccountName は使用しないで下さい。Bind DN 欄では CN を想定しています。
Step e.
Bind Password 欄に、LDAP サーバーバインドの際のパスワードを入力します。
注記
SSB は 150 文字以内のパスワードが使用できます。以下の特殊文字が利用でき
ます。
!"#$%&'()*+,-./:;<=>?@[\]^-`{|}
Step 3. SSB と LDAP サーバー間の通信を暗号化したい場合は、Encryption で SSL/TLS または
STARTTLS オプションにチェックを入れ、以下の手順を実行してください。
注記
Microsoft Active Directory との TLS 暗号化通信は、Windows2003
Server 以降の OS でのみサポートされており、Windows2000 Server はサポートし
ていません。
サーバーの証明書検査を SSB にさせたい場合、Only accept certificates authenticated
by the specified CA certificate を選択し、CA X.509 certificate 欄の をクリックします。
ポップアップ ウィンドウが現れます。
Browse（参照）をクリックし、LDAP サーバーの証明書を発行した CA(認証局)の証明書を
選択 します。そして、Upload をクリックします 。あるいはテキ スト形式の証明書 を
Copy-paste certificate タブの Certificate 欄に貼り付け Set をクリックすることもできます。
SSB はこの CA 証明書を使用して LDAP サーバーの証明書を検査します。検査の結果、
証明書の正当性を確認できない場合は、接続を拒否します。
警告
TLS 暗号化を LDAP 接続の際の証明書検査に用いている場合は、Server
Address 欄には必ずフルドメイン名を入力してください。(例：ldap.example.com)そう
でないと、証明書検査で失敗します。LDAP サーバーのサーバー名は、証明書の
"Common Name" に記されているものでなければなりません。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
91
LDAP サーバー側が、相互認証を必要としている(=SSB 側も証明書提示が必要な)場合、
Authenticate as client を有効にしてくだい。SSB の証明書を作成し、署名をしてもらいま
す。次に、ClientX..509 certificate 欄の をクリックして、証明書をアップロードします。
その後、Client key 欄の をクリックして、その証明書の秘密鍵をアップロードします。
SSB は PEM(RSA と DSA)、PUTTY、および、SSHCOM/Tectia 形式の秘密鍵をサポートして
います。また、パスワードで保護された秘密鍵もサポートしています。
BalaBit は、2048-bit RSA キー（または、より強度の高いキー）の利用を推奨しています。
Step 4. オプション：
LDAP サーバーがカスタム POSIX LDAP スキームを使用している場合、どの LDAP 属性
でユーザ名またはグループのメンバーシップを格納するか設定する必要があるかもしれ
ません。例えば、LDAP スキームがユーザ名を格納するのに uid 属性を使用しない場合、
Username (userid) attribute name オプションを設定する必要があります。また、POSIX
group membership attribute name と GroupOfUniqueNames membership attribute name
オプションを使用して、group-membership attribute をカスタマイズすることができます。
Step 5.
をクリックします。
警告
上記設定と同時に、SSB において必ずユーザグループ設定が必要になります。おそらく
お使いの LDAP データベースでも必要になります。詳細は、5.6.4 ユーザグループを使
うをご参照ください。
Step 6. Test をクリックし、接続のテストを行います。(ただし、SSL 暗号化接続におけるこの機能
は、現在はまだサポートされていません)
5.5
RADIUS サーバーでユーザ認証する
目的：
SSB は、外部の RADIUS サーバーに、ユーザ認証をゆだねることができます。なお、グループ参加
の設定は、ローカル環境もしくは LDAP データベースにて行います。
警告
チャレンジ/レスポンス認証方式は、SSB では現在サポートしていません。
パスワード、セキュア ID 等の認証方式のみサポートしています。
RADIUS サーバーによるユーザ認証の設定について説明していきます。
Step：
Step 1.
AAA > Settings の順にクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
92
図表 5.5 RADIUS 認証の設定
Step 2.
Authentication method 欄で、RADIUS を選択します。
Step 3.
Address 欄に、RADIUS サーバーの IP アドレスかドメイン名を入力します。
Step 4.
Shared secret 欄に、SSB が RADIUS サーバーに接続するためのパスワードを
入力します。
注記
SSB は 150 文字以内のパスワードが使用できます。以下の特殊文字が利用でき
ます。
!"#$%&'()*+,-./:;<=>?@[\]^-`{|}
Step 5.
さらに RADIUS サーバーを追加する場合は、 をクリックして、ステップ 2～4 を
繰り返します。複数の RADIUS サーバーを設定することにより、万一 1 台目のサ
ーバーがダウンしても、フェイルオーバーで SSB が自動的に次に登録されてい
る RADIUS サーバーにアクセスします。
Step 6.
ローカルユーザデータベースで RADIUS 認証を設定する時は、以下の手順に
従ってください。
Step a. Password expiration を０に設定する。
Step b. Number of passwords to remember を０に設定する。
Step c. Minimal password strength を disabled（無効）にする。
Step d. Cracklib (eg. dictionary) check on password を Disabled（無効）にする。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
93
Step 7.
警告
をクリックした後は、SSB の Web インターフェイスは、RADIUS
サーバーによる認証が成功した後に初めてアクセス可能となります。
なお、admin ユーザは、RADIUS サーバーに SSB からアクセス不能の場合
でも、通常のログインができます。
をクリックします。
5.6
ユーザ権限とユーザグループを管理する
SSB では、所属するユーザグループによって、付与されるユーザ権限が決まります。デフォルト
でも数多くのユーザグループが組み込まれており、またカスタムメイドも可能です。それぞれの
グループが、Web インターフェイスのどのページを閲覧、あるいは閲覧と変更/実行が可能か、
というような権限のセットから構成されています。
図表 5.6 SSB ユーザの管理
注記
Web インターフェイスのページセットに対して、閲覧あるいは閲覧/編集/実行
ができる権限が必ず、各グループに含まれています。
既に存在するグループの設定の変更に関しては、5.6.1 グループの権限を編集する
新たなグループ作成に関しては、5.6.2 SSB インターフェイスの、新たなユーザグループ
を作成する
ある特定の権限を含むグループを検索することに関しては、5.6.3 特定のユーザグル
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
94
ープを検索する
ユーザグループ使用に関するヒントは、5.6.4 ユーザグループを使う をご参照ください。
デフォルトで組み込まれているグループの権限に関して詳細は、5.6.5 SSB 組込みの
ユーザグループ
を、それぞれご参照ください。
5.6.1 グループの権限を編集する
目的：
既に存在するユーザグループの権限を編集する方法を説明します。
Step：
Step 1.
AAA > Access Control の順にクリックします。
Step 2.
権限を編集したいグループを探し、
をクリックします。設定可能な権限が
別ウィンドウで開きます。
Step 3.
権限(=Web インターフェイスのページ)を選択/解除し、Save をクリックして変更
を反映させます。
図表 5.7 グループ権限の修正
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
95
警告
AAA ページにおける"Search"権限をユーザに付与すると、そのユーザは、たとえ
Access control オプションである特定のログスペースのグループに属していなくと
も、全てのログスペースにおいて検索が可能となります。
Step 4.
Step 5.
Type 欄で、アクセスの種類'(ｒｅａｄまたは read and write/perform)を選択します。
をクリックします。
5.6.2 SSB インターフェイスの、新たなユーザグループを作成する
目的：
新たなグループを作成する手順を説明します。
Step：
Step 1. AAA > Access Control の順にクリックし、 をクリックします。
Step 2. グループ名を決めて入力します。グループのネーミングに関して詳細は、5.6.4 ユーザグ
ループを使うをご参照ください。
Step 3.
アイコンをクリックすると、設定可能な権限が表示されます。
Step 4. グループに付与する権限(SSB Web インターフェイスのページ)にチェックを入れます。終
わったら Save をクリックします。
注記
• 設定ファイルのエクスポートを行いたい場合、Export 権限を含める
必要があります。
• 設定ファイルのインポートを行いたい場合、Import 権限を含める
必要があります。
• ファームウェアのアップデートまたはアクティブファームウェアの
セットを行いたい場合、Firmware 権限を含める必要があります。
Step 5. Type 欄で、アクセスの種類(read または read and write/perform)を選択します。
Step 6.
をクリックします。
admin ユーザはデフォルトで作成されており、全ての特権を有します。唯一不可能なのは、
共有ログスペースにリモートでアクセスできないことです。admin ユーザを削除することは
できません。
5.6.3 特定のユーザグループを検索する
AAA > Access Control ページの Filter ACLs セクションで、ユーザグループの名称または
付与されている権限をキーに、グループを簡単に検索することが可能です。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
96
図表 5.8 特定のユーザを検索する
特定の文字で始まるユーザグループを検索するには、始まりの文字列を Group
欄に入力し、Search をクリックします。
特定の権限が付与されているグループを検索するには、
をクリックし、
検索している権限名(完全にわからない場合は、途中まででも可)を入力し、Search
をクリックします。
アクセス種別(read/read and write/perfoｒm)でさらに絞り込む場合は、Type
プルダウンで選択します。
5.6.4 ユーザグループを使う
ユーザグループをどうネーミングするかは、SSB ユーザの管理方法によって変わってきます。
ローカルユーザ： SSB ローカル環境でのみユーザ管理を行う場合は、AAA >
Access Control ページで、ユーザの作成及び管理をします。ユーザのグループ
所属に関する設定は、AAA > Local Users または AAA > Group Management
ページにて行います。
LDAP ユーザと LADP グループ： ユーザ管理を LDAP で行っており、SSB の
ユーザグルーピングと同じ LDAP グループが設定されているなら、AAA >
Access Control ページにて、ユーザ作成と編集を行います。その際、LDAP
のグループ名と SSB のユーザグループ名が同一になるようにしてください。
たとえば、admins という LDAP グループを作成し、SSB でも使えるようにしたい
場合、SSB の AAA > Access Control ページにて、admins というグループを
作成します。その後、付与する権限を設定します。
警告
１つのユーザは、最大 10,000 グループに属することができます。それ以上は設定で
きません。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
97
RADIUS ユーザとローカルグループ： LDAP サーバー上でグループを作成できない
(または作成したくない)が、ユーザは RADIUS で管理する、というケースです。
ローカルのユーザグループを AAA > Access Control ページで作成し、RADIUS
ユーザをそのユーザグループに AAA > Group Management ページで追加します。
5.6.5 SSB 組込みのユーザグループ
SSB は、デフォルトで以下のユーザグループが設定されています。
警告
LDAP サーバーによるユーザ認証を行っていて、かつ SSB デフォルトのユーザグルー
プをお使いになりたい場合は、全く同じ名前のユーザグループを LDAP データベース
に作成し、ユーザを割り振る必要があります。ユーザグループ使用に関して詳細は、
5.6.4 ユーザグループを使うをご参照ください。
basic-view： SSB のシステムログ及び Basic Settings の設定メニューを閲覧できる権
限。Troubleshooting タブ内のコマンド実行も可能
basic-write： Basic Setteings メニューの設定内容を変更できる権限。このグループ
の権限が付与されているユーザは、SSB をホストとして管理できます。
auth-view： AAA メニュー内、SSB 管理者の名称及び権限、ユーザグループの設定内
容、認証設定を閲覧できる権限。このグループ権限が付与されていると、設定内容の
変更履歴も閲覧できます。
auth-write： 認証関連の設定を編集でき、またユーザ及びユーザグループの管理が
できる権限
警告
auth-write グループのメンバ、または、他のグループでも AAA メニューへの write 権限
を持っているメンバは、自分自身にどのような権限も付与できるため、本質的に SSB
の管理者と同等です。制限された権限を持つユーザは、このような権限を持つべきで
ないでしょう。
AAA メニューへの write 権限を持つユーザが自分自身に新しい権限を付与した場合
（例：新しいグループへのアクセス権）、そのユーザは、新しい権限を有効にするた
め、SSB web インターフェイスに再ログインする必要があります。
search： Search メニューにて、さまざまなログやアラートを閲覧し、ダウンロード
できる権限
注記
admin ユーザは、デフォルトではこのグループ権限は付与されていません。
したがって、共有ログスペースにリモートアクセスすることはできません。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
98
changelog： AAA > Accounting メニューにて、SSB の設定に対する変更の履歴を閲覧
できる権限
report： Report メニューにて、レポートを閲覧、作成、管理でき、またレポートに統計ベ
ースの章を挿入できる権限
注記
レポートに、どの統計ベース章を挿入するか、細かく設定したい場
合は、"Use static subchapters" 権限を付与してください。
policies-view： Policies メニューにて、ポリシー及びその設定を閲覧できる権限
policies-write： Policies メニューにて、ポリシー及びその設定を編集できる権限
警告
この権限グループを付与されているユーザは、蓄積されたログを、共有ネット
ワークドライブとしてアクセス可能にできます。暗号化されていないログファイ
ルでは、重要なデータも丸見えとなってしまう危険性があります。
log-view： Log メニューの、ロギングの設定を閲覧できる権限
log-write： Log メニューの、ロギングの設定を編集できる権限
5.7
設定に対する変更を一覧化し、検索する
SSB は、設定に対する変更を全て記録します。その履歴を閲覧するには、AAA > Accounting の
順にクリックします。変更履歴はログとして残り、SSB の通常の Web インターフェイスから検索・
閲覧することができます。(詳細は、第 12 章 ログメッセージを閲覧 をご参照ください) 以下の
説明は、それぞれの情報について記述しています。
図表 5.9 設定変更履歴の閲覧
Timestamp： 変更が加わった日付
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
99
Author： 設定変更を行った SSB 管理者のユーザ名
Page： 変更された項目が属するメニュー
Field name： 変更された項目またはオプション名
New value： 変更後のパラメータの値
Message： 管理者が記録した、変更に当たっての説明。Require commit log オプション
が ON になっているときのみ、このフィールドに値が入ります。(下記説明参照)
Old value： 変更前のパラメータの値
設定変更に関して、説明を毎回必ず記述させるには、AAA > Settings の順にクリックし、
Accounting settings フィールドの、Require commit log オプションを ON にします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
100
6
SSB の管理
以下のセクションでは、SSB の基本的な管理内容を説明します。
6.1
6.1 SSB の制御ー再起動、シャットダウン： 基本的な管理タスク
（リブート、シャットダウン、通信停止）
6.2 SSB ハイアベイラビリティのクラスターを管理する
6.3 SSB のアップグレード
6.4 SSB のコンソールにアクセスする： SSB にコンソールと SSH でアクセスする方法
6.5 シールドモード： シールドモードを有効にする（リモートコンソールから基本的な
設定変更ができないようにする）
6.6 SSB のアウトバンド管理： IPMI の設定情報
6.7 SSB に適用されている証明書を管理する
6.8 ホストリストポリシーを作成する
SSB の制御－再起動、シャットダウン
SSB の再起動またはシャットダウンを行うには、Basic Settings > System の順にクリックし、
System control タブをクリックします。This node であることを確認し、Restart または Shutdown
いずれかをクリックします。もし、The Other node と表示されていたら、それはハイアベイラビリ
ティモードで稼動している場合の、スレーブマシンを意味します。ハイアベイラビリティのクラスタ
ーに関して詳細は、6.2 SSB ハイアベイラビリティのクラスターを管理する をご参照ください。
警告
クラスターノードをリブートするときは、不必要なテークオーバーを避け
るため、他（スレーブ）ノードを先にリブートしてください
クラスターのノードをシャットダウンするときは、他（スレーブ）ノードを先
にシャットダウンしてください。ノードをパワーオンするときは、不必要な
テークオーバーを避けるため、マスターノードを先に開始してください。
両方のノードが動作中、ノード間の接続を遮ることを避けるため、イー
サネットケーブルを抜いたり、ノード間のスイッチやルータをリブートし
たり、SSB の HA インターフェイスを無効にしたりしないでください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
101
図表 6.1 基本設定
注記
SSB のインターフェイスに対する Web セッションは、再起動後も保持されています。
よって再起動後にログインし直す必要はありません。
6.2
SSB ハイアベイラビリティのクラスターを管理する
ハイアベイラビリティ（HA）クラスターは、長距離間の接続（ビルや市を跨るなど）をサポートしてい
ます。ゴールはロケーションに依存しないフェイルオーバーとリカバリーを提供することによりビジ
ネスの継続性を支えることです。
ハイアベイラビリティクラスタを設定するには、ハイアベイラビリティモードで同一の設定を持つ２台
の SSB を接続し、マスターとスレーブノードのペアを構築します。万が一マスターが機能を停止し
ても、スレーブノードがマスターノードの MAC アドレスを引き継ぐので、SSB サーバーは継続的に
アクセス可能な状態を維持することができます。
注記
管理インターフェイスをハイアベイラビリティモードで使用するには、両ノードの
SSB の管理インターフェイスをネットワークに接続します。接続しない場合、
テークオーバーが起こった後で、SSB にリモートからアクセスできなくなります。
マスターノードは全データをスレーブノードと共有しています。共有には HA ネットワーク（SSB に
"4"または"HA"とラベルされている）が使用されています。HA モードではマスターとスレーブのデ
ィスクは正しく動作するために同期している必要があります。ノード間の接続が切断する（イーサネ
ットケーブル外しやノード間のスイッチやルータの再起動、または、HA インターフェイスの無効）と、
データの同期ができなくなり、スレーブノードがアクティブになります。これにより、データを喪失す
ることになるかもしれません。こういった問題の解決や SSB クラスターのリカバリーについては、
16.6 SSB クラスターのトラブルシューティング をご参照ください。
Basic Setting > High Availability ページにて、HA クラスターと両ノードのステータスを見ることがで
きます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
102
図表 6.2 HA クラスターの管理
クラスターについて以下の情報が利用できます。
Status: SSB ノードが適切にお互いを認識しており、ハイアベイラビリティモードに設定さ
れているか表示しています。
各 HA ステータスの詳細は、16.6.1 SSB ステータスの理解 をご参照ください。
Current master: ノードの HA インターフェイス（4 または HA）の MAC アドレス。このアド
レスは SSB 筐体の上部カバーにあるラベルにも印刷してあります。
HA UUID: HA クラスターのユニークな ID。ハイアベイラビリティモードでのみ表示されま
す。
DRBD status: SSB ノードが適切にお互いを認識しており、ハイアベイラビリティモードに
設定されているか表示しています。各 HA ステータスの詳細は、16.6.1 SSB ステータスの
理解 をご参照ください。
DRBD sync rate limit: マスターとスレーブ間の同期スピードの最大値。
詳細は、6.2.1 DRBD の同期速度の調整 をご参照ください。
アクティブ（マスター）SSB ノードは、"This node"と表示されており、ログメッセージを受信し Web イ
ンターフェイスを持っています。"Other node"と表示されている SSB ユニットは、スレーブノードで
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
103
マスターノードが利用できなくなった時にアクティブになります。
以下は各ノードについての情報です。
Node ID： HA インターフェイスの MAC アドレスです。この MAC アドレスは、SSB マシン
筐体の上部カバーにあるラベルにも印刷されています。
SSB クラスター用に両ノードの ID は SSB の内部ログに含まれています。
Node HA state： SSB ノードが適切にお互いを認識しており、ハイアベイラビリティモード
に設定されているか表示しています。
各 HA ステータスの詳細は、16.6.1 SSB ステータスの理解 をご参照ください。
Node HA UUID： ノードをユニークに識別する識別子。ハイアベイラビリティモードでのみ
表示されます。
DRBD status： ノード間のデータ同期のステータスを表示しています。
各 DRBD ステータスの詳細は、16.6.1 SSB ステータスの理解 をご参照ください。
RAID status： ノードの RAID デバイスのステータス。
Boot firmware version: ブートファームウェアのバージョン。
詳細は、2.7 SSB のファームウェア をご参照ください。
HA link speed: マスターとスレーブノード間の最大スピード。これは、DRBD sync rate
limit を超えている必要があります。そうしないと、WEB UI が応答しなくなり、データロス
が発生します。
Interfaces for Heartbeat: 他のノードが利用可能状態か検出するためにのみ使用される
仮想インターフェイスで、ノード間のデータの同期には使用されません。（ハートビートの
メッセージのみが送信されます。）
詳細は、6.2.3 冗長化ハートビートインターフェイスの設定 をご参照ください。
Next hop monitoring:
IP アドレス（通常 ネクストホップルータ用）で、マスターとスレー
ブの両ノードから ICMP エコー（ping）メッセージを用いて継続的に監視するために使用
されます。マスターノードからこのモニターしているアドレスに到達できないが、スレーブ
ノードからはアクセスできる状況の場合、マスターノードはアクセス不可と見なされ、テ
ークオーバーが起こります。たとえマスターノードは機能していてもです。詳細は、6.2.4
ネクストホップルータの監視設定 をご参照ください。
以下のコンフィグレーションと管理オプションは HA クラスター用として利用できます。
ハイアベイラビリティクラスタを設定： 詳細は、付録 1.2 ２つの SSB ユニットを HA モード
で設定する をご参照ください。
DRBD（マスターとスレーブ）の同期スピードを調整： DRBD synchronization rate の limit を
変更できます。詳細は、6.2.1 DRBD の同期速度の調整 をご参照ください。
非同期のデータ複写を有効に設定： DRBD asynchronous mode オプションでマスターとス
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
104
レーブ間の非同期データ複写を有効にすることにより、高いネットワークレイテンシーとバ
ースト状態に対応することができます。詳細は、6.2.2 非同期のデータ複写 をご参照くだ
さい。
ハートビートインターフェイスの冗長化を設定： 他のノードが利用可能か監視するため各
HA ノードの仮想インターフェイスを設定できます。詳細は、6.2.3 冗長化ハートビートインタ
ーフェイスの設定 をご参照ください。
ネクストホップモニタリングの設定：
マスターとスレーブの両ノードから ICMP エコー
（ping）メッセージを用いて継続的に監視するために IP アドレス（通常 ネクストホップルータ
用）を設定します。マスターノードからこのモニターしているアドレスに到達できないが、スレ
ーブノードからはアクセスできる状況の場合、マスターノードはアクセス不可と見なされ、テ
ークオーバーが起こります。たとえマスターノードは機能していてもです。詳細は、6.2.4 ネ
クストホップルータの監視設定 をご参照ください。
HA クラスターの再起動： 両ノードを再起動するには、Reboot Cluster をクリックしてくださ
い。テークオーバーを避けるため、スレーブノードにはトークンが置かれています。このトー
クンがあると、スレーブノードはマスターノードが最初にブートするように自身がブートする
のを停止します。マスターノードは再起動が終了するとスレーブノードからこのトークンを削
除しスレーブがブートできるようにします。マスターの再起動が終了後、トークンがまだスレ
ーブノードに残っている時は、Unblock Slave Node ボタンが表示されるので、クリックしてく
ださい。スレーブが再起動します。
ノードの再起動： 選択したノードを再起動します。クラスター内のノードを再起動する場合、
不必要なテークオーバーを避けるため、Other(Slave) node を最初に再起動します。
ノードのシャットダウン： 選択したノードをシャットダウンします。クラスター内のノードをシ
ャットダウンするには、Other (Slave) node を最初にシャットダウンします。ノードに電源を入
れる場合、不必要なテークオーバーを避けるため、マスターノードから電源を投入します。
手動でテークオーバー： 現在アクティブなノードを無効にして、Other node（スレーブノー
ド）を起動するには、Activate slave をクリックします。
スレーブノードを起動すると SSB の全接続が終了するため、受信データを喪失することに
なるかも知れません。スレーブノードは約 60 秒後にアクティブになるため、その間、SSB は
ログメッセージを受信できません。こういったケースの場合、syslog-ng クライアントやリレー
サーバーでディスクバッファリングを有効にすることにより、データロスを避けることができ
ます。
6.2.1 DRBD の同期速度の調整
SSB が 2 つのマシンで、ハイアベイラビリティモードで稼動している際、入ってくる全てのデータ
が、マスター(アクティブな)ノードから、スレーブ(準備中の)ノードへとコピーされます。データ同
期はシステムのリソースを大量に消費することから、同期の速度は制限されています。デフォル
トでは 10MB/Sec です。しかしこれでは、大量のデータの同期には長時間かかってしまいます。
したがって、状況によっては、同期速度を高くすることが役立ちます。例えば、スタンドアロンモ
ードからハイアベイラビリティモードに移行した後のデータ同期です。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
105
DRBD 同期速度を調整するには、Basic Settings > High Availability の順にクリックし、DRBD
sync rate limit プルダウンで、設定したい速度にします。
同期速度の設定は注意してください。高い値の設定は、SSB の負荷が高い場合、推奨しません。
同期処理に使用されるリソースが増加するため、SSB 全体の性能を低下させる可能性がありま
す。一方、HA のリンク速度は、受信ログの速度より高くなければなりません。そうしないと、Web
UI が応答しなくなり、データロスが発生することになります。
もし、突発的な高いアクティビティを経験しているようでしたら、非同期のデータ複写を検討する
ことができます。
6.2.2 非同期のデータ複写
SSB（HA クラスタ）が高いレイテンシーの環境で稼動している、または、短期間だけ高い負荷の
ような時、速度低下・レイテンシー・パケットロスのリスクがあります。このような場合、非同期の
データ複写でレイテンシーに対応することができます。
非同期のデータ複写は、方式の一つで、主ノードでのローカルへの書込み処理は、ローカルデ
ィスクへの書込みが終わり、複写パケットがローカルの TCP 送信バッファーに置かれた時点で
終了したと見なします。これはアプリケーションの性能に影響を与えず、ネットワークのレイテン
シーを許容し、物理的に遠いストレージノードを利用することを可能にします。しかしながら、デ
ータは、ローカルで終了した後のどこかの時点で複写されるので、遠隔にあるストレージノード
は管轄外であり、もし、メインのデータセンターでローカルノードが故障したら、データロスが発
生します。
非同期のデータ複写を ON にするには、Basic Settings > High Availability を順にクリックし、
DRBD asynchoronous mode にチェックを入れます。この設定を有効にするためは、クラスター
（Reboot cluster をクリック）をリブートする必要がありあます。
高い負荷が継続する状況では、非同期のデータ複写はレイテンシーや高いパケットロス率（1%
以上）に対応することができないかもしれません。こういう場合、データロスを回避するため、冗
長化を犠牲にしてもスレーブマシンを停止することを推奨します。
6.2.3 冗長化ハートビートインターフェイスの設定
目的：
無用なフェイルオーバーや Split-brain（スプリットブレイン）状態を発生させないために、SSB に
冗長化ハートビートインターフェイスを設定することができます。これは、単にもう片方のノード
が正常な状態であることを確認するためだけの目的であり、データ等の同期を取るものではあ
りません(ハートビートメッセージのやり取りのみ行われます)。例えば、メインのハイアベイラビリ
ティインターフェイスがダウン、あるいはケーブルが過って外れてしまったが、冗長化ハートビー
トインターフェイスによるやり取りができているのであれば,、フェイルオーバーは発生しません。
ただしこの場合、ハイアベイラビリティのインターフェイスは切断されているため、データの同期
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
106
は行われません。逆に冗長化ハートビートインターフェイスが失われ、しかしハイアベイラビリテ
ィインターフェイスではお互いを認識できていたら、やはりフェイルオーバーは起こりません。
冗長化ハートビートインターフェイスが設定されると、そのステータスは、Basic Settings > High
Availability > Redundant Heartbeat status に表示されます。また、System monitor の HA >
Redundant 欄にも表示されます。各ステータスの詳細は、16.6.1 SSB ステータスの理解 をご参
照ください。
冗長化ハートビートインターフェイスは、既存の物理的インターフェイス(例：SSB の外部または
管理インターフェイス)上に、仮想 MAC アドレスと共に仮想的に構築されるものです。
もともとの MAC アドレスは、
Basic Settings > High Availability > Interfaces for Heartbeat > Production MAC に表示され、
仮想の冗長化ハートビートインターフェイスの MAC アドレスは、
Basic Settings > High Availability > Interfaces for Heartbeat > HA MAC にて表示されます。
冗長化ハートビートインターフェイスの MAC アドレスは、物理 MAC アドレスと干渉しないように
生成されます。
メインのハイアベイラビリティインターフェイスの接続が切れ、その後しばらくして冗長化ハートビ
ートの相互認識も不可となった場合、スレーブノードがアクティブになります。ただし、マスターノ
ードがしばらくの間アクティブで、その間にデータ同期が全く取られないと、Split brain（スプリット
ブレイン）のステータスになってしまいます。この場合、ハイアベイラビリティに関する機能の修
復より前に、Split brain（スプリットブレイン）からの回復を先に行う必要があります。
詳細は、16.6.3 スプリットブレイン状況からのリカバリー をご参照下さい。
注記
たとえ冗長化の HA リンクを設定していても、専用の HA リンクがもしフェイルしたら、スレーブ
ノードは High Availability ページに表示されなくなります。
冗長化ハートビートインターフェイスの設定方法を説明します。
Step：
Step 1.
Basic Settings > High Availability > Interfaces for Hearbeat の順にクリックしま
す。
Step 2.
冗長化ハートビートでお使いになりたいインターフェイスを選択します。(例：
External)冗長化ハートビートのインターフェイスに指定されても、そのインターフ
ェイスのもともとのトラフィックには影響ありません。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
107
図表 6.3 冗長化ハートビートインターフェイス設定
Step 3.
This node > Interfaces IP 欄に、選択したインターフェイスの IP アドレスを入力し
ます。
■ ２つのノードは、異なる Interface IP にします。
■ 冗長化インターフェイスでネクストホップモニタリングを使用しないなら、
どんな Interface IP（ネットワークに存在しなくても）も使用できます。
■ 冗長化インターフェイスでネクストホップモニタリングを使用する場合、
Interface IP は他のノードから見える実 IP アドレスにします。
■ 冗長化インターフェイスでネクストホップモニタリングを使用する場合、
Interface IP はネクストホップアドレスからアクセスできなければなりません。
またはその逆もです。
詳細は、6.2.4 ネクストホップルータの監視設定 をご参照ください。
Step 4.
Other node > Interface IP 欄に、選択したインターフェイスの IP アドレスを入力し
ます。
■ ２つのノードは、異なる Interface IP にします。
■ 冗長化インターフェイスでネクストホップモニタリングを使用しないなら、
どんな Interface IP（ネットワークに存在しなくても）も使用できます。
■ 冗長化インターフェイスでネクストホップモニタリングを使用する場合、
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
108
Interface IP は他のノードから見える実 IP アドレスにします。
■ 冗長化インターフェイスでネクストホップモニタリングを使用する場合、
Interface IP はネクストホップアドレスからアクセスできなければなりません。
またはその逆もです。
詳細は、6.2.4 ネクストホップルータの監視設定 をご参照ください。
Step 5.
冗長化ハートビートインターフェイスを追加する場合は上記ステップを繰り返し
ます。
Step 6.
Step 7.
をクリックします。
設 定 変 更 を 有 効 に す る た めノ ー ド を再 起 動 す る 必 要 が あ り ます 。Reboot
Cluster をクリックしてください。
6.2.4 ネクストホップルータの監視設定
目的：
デフォルトでは、ハイアベイラビリティモードで稼動している際にフェイルオーバーが起こるのは、
マスターノードが停止し、スレーブノードから認識ができなくなった場合のみです。マスターノード
が、外部のネットワークに接続できなくなった(例：SSB の外部インターフェイス、ルータ、あるい
はスイッチの不具合で外部ネットワークに接続できなくなった)が、スレーブノードは別のルータ
を使用しているため問題なく接続できている場合等はフェイルオーバーの対象外です。
こういった状況に対応するため、IP アドレス(通常はネクストホップルータ)を、マスター･スレーブ
双方から、ICMP(ping)で常に監視可能なアドレスに設定することができます。
ネクストホップモニタリングを設定する時、マスターとスレーブノードは指定したアドレスに直接
ping できるようにします。以下の何れかにします。
冗長化 HA SSB インターフェイスのアドレス（ネクストホップアドレスと同じサブネットになる
ように）
追加の IP アドレス（冗長化 HA SSB インターフェイスと面しているサブネットと同じ）を使用し
てネクストホップデバイスを設定
マスターノードからの監視対象のアドレスの内、一つでも接続不能になり、しかしスレーブノード
からはそのアドレスに接続できる場合(言い換えれば、スレーブノードからのアクセス可能アドレ
スのほうが多い場合)、マスターノード自体は稼動していても、スレーブからみてマスターはアク
セス不能になったと判断し、フェイルオーバーが起こります。
通常、スレーブノードがマスターノードの代わりになるための条件が整っていない場合(例：デー
タの同期が取れていない)、フェイルオーバーは発生しません。
ネクストホップの監視設定方法を説明します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
109
Step：
Step 1.
Basic Settings > High Availability > Next hop monitoring の順にクリックします。
Step 2.
上記ネクストホップルータを監視するためのインターフェイスを選択します。
図表 6.4 ネクストホップモニタリングの設定
Step 3.
選択した側のインターフェイスの This node > Next hop IP に、現在マスターとな
っているノードから監視する IP アドレス(例：SSB のインターフェイスに接続され
ている、ルータやスイッチの IP アドレス)を入力します。ここで設定する IP アドレ
スは、インターフェイス間でアクセス可能であり、かつ同一のローカルネットワー
クセグメント上に存在する必要があります。
Step 4.
選択した側のインターフェイスの Other node > Next hop IP に、現在スレーブと
なっているノードから監視する IP アドレス(例：SSB のインターフェイスに接続さ
れている、ルータやスイッチの IP アドレス)を入力します。ここで設定する IP アド
レスは、インターフェイス間でアクセス可能であり、かつ同一のローカルネットワ
ークセグメント上に存在する必要があります。
Step 5.
他のインターフェイスから監視すべき IP アドレスを追加する必要があるなら、上
記ステップを繰り返します。
Step 6.
をクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
110
警告
以上の設定変更を反映させるには、両ノードを再起動する必要が
あります。Reboot Cluster をクリックしてください。
6.3
SSB のアップグレード
SSB アプライアンスは、最新の長期サポート版（LTS）がプリインストールされています。各 LTS
は最初の出荷日から３年間サポートされます。また、次版の LTS が公開されると、その後１年間
サポートされますが、どちらか遅い時期までサポートされます。是非、最新の LTS にアップグレ
ードするようにしてください。
フィーチャーリリースは、LTS に統合される前の追加機能を提供します。これらの機能を使用し
たい場合、アプライアンスにフィーチャーリリースをインストールすることができます。以下が条
件です。
フィーチャーリリースから LTS へロールバックすることはできません。
フィーチャーリリースは 6（+2）ヶ月間、サポートされます。アプライアンスがサポート対象に
なるようにするためには、最新のフィーチャーリリースにアップグレードし続ける必要があり
ます。
LTS とフィーチャーリリースの両方とも、セキュリティパッチやバグフィックスを統合してアップデ
ート版を提供します。常に最新の版数をインストールするようにしてください。
警告
最新のフィーチャーリリースからダウングレード（たとえ LTS リリース
へも）した場合、SSB のサポートは無効になります。
次の章では、SSB を最新版に維持する方法、新しいライセンスをインストールする方法を説明し
ます。
事前準備： 6.3.1 アップグレードのチェックリスト
シングルノードのアップグレード： 6.3.2 SSB（シングルノード）のアップグレード
ハイアベイラビリティクラスタのアップグレード： 6.3.3 SSB クラスターのアップグレード
トラブルシューティング： 6.3.4 トラブルシューティング
ロールバック手順： 6.3.5 古いファームウェア版への戻し方
SSB ライセンスのリニューアル： 6.3.6 SSB ライセンスのアップデート
SSB のコンフィグレーションのエクスポート：6.3.7 SSB のコンフィグレーションのエクスポート
SSB のコンフィグレーションのインポート： 6.3.8 SSB のコンフィグレーションのインポート
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
111
6.3.1 アップグレードのチェックリスト
SSB のコンフィグレーションのバックアップを作成した
詳細は、6.3.7 SSB のコンフィグレーションのエクスポート をご参照ください。
SSB コアファームウェア と ブートファームウェアをダウンロードした
詳細は、2.7 SSB のファームウェア をご参照ください。
アップグレードする前にリリースノートを読んだ
リリースノートには、その版に固有の追加情報が含まれている場合があります。
http://www.jtc-i.co.jp/support/releasenote/releasenote_ssb.html
ハイアベイラビリティクラスタの場合
スレーブノードのローカルコンソールにアクセスできる。または、IPMI でアクセスできる。
ハイアベイラビリティクラスタでジオクラスターが有効な場合
ファームウェアのアップロードを、アップグレード作業の１時間前に実施します。ジオクラス
タリングはマスターとスレーブの同期に遅延があるため、スレーブノードでマスターノードか
らの新ファームウェアの同期が間に合わないことがあるためです。
アップグレード中、SSB はアップグレードの進捗や問題があった場合の情報をコンソールに表示し
ます。また、その情報は、IPMI のコンソールアクセスでも監視することができます。
アップグレード手順をまず仮想環境などの非本番システムでテストすることをお勧めします。
SSB のアップグレードは再起動が必要です。そのため、本番機でのアップグレード作業は、データ
ロスを避けるためにも、保守時間に実施することをお勧めします。
6.3.2 SSB（シングルノード）のアップグレード
Step:
Step 1. Web インターフェイスを用いてコアファームウェアをアップデートします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
112
図表 6.5 ファームウェアを管理する
Step a.
Basic Settings > System > Core firmwares を順にクリックします。
Step b.
新コアファームウェアをアップロードします。
Step c.
アップロードが終わったら、After reboot オプションを選択します。
SSB をまだ再起動しないようにします。
Step d.
アップロードしたファームウェアのアップグレードノートを読むには、 アイコン
をクリックします。ポップアップウィンドウ内にアップグレードノートが
表示されます。
Step 2. Web インターフェイスを用いてブートファームウェアをアップロードします。
Step a.
Basic Settings > System > Boot firmwares を順にクリックします。
Step b.
新ブートファームウェアをアップロードします。
Step c.
アップロードが終わったら、After reboot オプションを選択します。
Step d.
アップロードしたファームウェアのアップグレードノートを読むには、 アイコン
をクリックします。ポップアップウィンドウ内にアップグレードノートが
表示されます。
Step 3.
Basic Settings > System > System Control > This node に移動し、Reboot を選択します。
SSB は、新ファームウェアでブートします。ブートプロセスが終わるまで待ちます。
Step 4.
アップグレードが成功したか確かめるため SSB の Web インターフェイスにログインします。
Basic Settings > System > Version details に移動し、SSB のバージョンをチェックします。
もし、何か問題がある場合、6.3.4 トラブルシューティング をご参照ください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
113
6.3.3 SSB クラスターのアップグレード
Step 1. Web インターフェイスを用いてコアファームウェアをアップロードします。
Step a.
Basic Settings > System > Core firmwares を順にクリックします。
Step b.
新ブートファームウェアをアップロードします。
Step c.
アップロードが終わったら、After reboot オプションを選択します。
SSB をまだ再起動しないようにします。
Step d.
アップロードしたファームウェアのアップグレードノートを読むには、 アイコン
をクリックします。ポップアップ ウィンドウ内にアップグレードノートが
表示されます。
Step 2. Web インターフェイスを用いてブートファームウェアをアップロードします。
Step a.
Basic Settings > System > Boot firmwares を順にクリックします。
Step b.
新ブートファームウェアをアップロードします。
Step c.
アップロードが終わったら、After reboot オプションを選択します。
Step d.
アップロードしたファームウェアのアップグレードノートを読むには、 アイコン
をクリックします。ポップアップ ウィンドウ内にアップグレードノートが
表示されます。
Step 3.
Basic Settings > System > High availability > Other node を順にクリックし、Shutdown を
クリックします。
Step 4.
マスターノードを再起動します。This node > Reboot をクリックします。
SSB は、新ファームウェアでブートします。ブートプロセスが終わるまで待ちます。
Step 5.
マスターノードのアップグレードが成功したか確かめるため SSB の Web インターフェイス
にログインします。
Basic Settings > System > Version details に移動し、SSB のバージョンをチェックします。
もし、何か問題がある場合、6.3.4 トラブルシューティング をご参照ください。
Step 6.
スレーブノードを再起動するため IPMI インターフェイスを使用します。
スレーブノードは新しいファームウェアでブートしようとし、マスターノードへ接続します。
プロセスが終了するまで待ちます。
Step 7.
Basic Settings > System > High availablity の順にクリックし、スレーブノードが接続され
たこと、また、マスターノードと同じファームウェアバージョンになっていることを確認
します。
6.3.4 トラブルシューティング
Web インターフェイスが変な振る舞いをした場合、まず、ページのキャッシュをクリアするため、ペ
ージを再ロードしてください。SHIFT キーを押しながらブラウザの Reload ボタンをクリックします。
普通あり得ませんが、アップグレード中に問題が発生し、元の状態に戻すことができない場合、
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
114
SSB は次の動作をします。
設定された IP アドレスを使用し、ネットワークインターフェイスを初期化
SSB への SSH アクセスを有効しにします。SSB がシールドモードで動作していない場合で
す。この方法により、アップグレード中のログへのアクセスが可能になり、サポートチーム
が診断し問題を解決する手助けになります。
SSB の再起動後 30 分しても Web インターフェイスにアクセスできない場合、ローカルコンソールに
表示された情報を確認し、サポートチームに連絡してください。
6.3.5 古いファームウェア版への戻し方
目的：
SSB は、5 つの異なるバージョンのファームウェアを保持しておくことができます。必要であれば、
その 5 つのうちいずれでも SSB を起動させることが可能です。起動時使用可能なファームウェ
アは、Basic Settings > System > Boot fiemware 及び、Basic Setings > System > Core firmware
にて確認できます。一覧には、バージョン番号、リビジョン番号、作成日といった、それぞれのバ
ージョンに関する情報が表示されています。現在稼動しているバージョンのファームウェアは、
Current 列の□がチェックされています。また、SSB が再起動する場合、その後立ち上がってく
るバージョンの After reboot 列の□がチェックされています。
以前のバージョンで SSB を起動させる手順について説明します。
警告
SSB のファームウェアのアップグレードの場合は、設定ファイルも自動的にアップデートされま
す。しかし、以前のバージョンに戻す場合、単に旧バージョンのファームウェアで SSB を起動し
ただけでは不完全です。旧バージョンのファームウェアは、新しいバージョンのファームウェア
上で作られた設定ファイルを読込めないからです。この様な場合は、コンソールからログイン
し、Revert Configration オプションを ON にし、ファームウェアがアップグレードされる前の状態
と同じ設定ファイルにします。コンソールメニューの詳細は、6.4.1 SSB のコンソールメニューを
使用するをご参照ください。
警告
最新のフィーチャーリリースからダウングレード（たとえ LTS リリースへも）した場
合、SSB のサポートは無効になります。
Step：
Step 1.
Basic Settings > System の順にクリックし、Boot fiｒｍware のタブをクリックして
展開させます。
Step 2.
ファームウェアのバージョンを選択し、After reboot 列の□にチェックを入れます。
Step 3.
続いて、Core firmware のタブをクリックして展開させます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
115
Step 4.
ファームウェアのバージョンを選択し、After reboot 列の□にチェックを
入れます。
Step 5.
System Control > This node > Reboot の順にクリックして SSB を再起動します。
Step 6.
SSb クラスターをダウングレードする場合
6.3.3 SSB クラスターのアップグレード（アップロードの手順をスキップします）に
従ってください。以下は必要な手順のまとめです。
Step a. スレーブノードの電源を ON にできること（または IPMI）が必要です。
Step b. スレーブノードをオフラインにします。
Step c. マスターノードを再起動します。再起動に続いて、マスターノードが問題なく
ダウングレードされたことを確認します。
Step d. スレーブノードに電源をいれるため IPMI インターフェイスを使用します。
スレーブノードがマスターに再接続され、問題なくダウングレードされたことを
確認します。
6.3.6 SSB ライセンスのアップデート
目的：
お使いの SSB ライセンスの有効期限が切れる以前に、あるいは新たなライセンスをご購入いた
だいた際は、ライセンスキーをアップデートしていただく必要があります。現在適用されているラ
イセンスに関しては、Basic Settings > System > License 画面にてご確認いただけます。以下の
情報が表示されます。
図表 6.6 ライセンスのアップデート
Customer：ライセンス使用を許された会社名
Serial：ライセンスのユニークなシリアル番号
Host limit：このライセンスにおいて SSB がログを受信できるデバイスの上限台数
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
116
Valid: ライセンスの有効期間。日付は YYYY/MM/DD 形式で表示されます。
SSB は、ライセンスが期限切れとなる 1 週間前に、自動でアラートを発行します。Host limit
で指定されている台数の 90 パーセントを超える接続台数が設定されると、やはりアラートを
自動発行します。
ライセンスキーをアップデートする手順を説明します。
警告
ライセンスキーのアップデートを行う前に、設定ファイルのバックアップを取得
することを推奨します。詳細は、6.3.7 SSB の設定ファイルをエクスポートするを
ご参照ください。
Step：
Step 1.
Basic Setings > System > License の順にクリックします。
Step 2.
参照をクリックしてアップデートすべき新たなライセンスキーのファイルを選択し
ます。
注記
ライセンスファイルはマニュアルで解凍する必要はありません。圧縮されたライ
センス（例： zip）をアップロードすることができます。
Step 3.
Upload をクリックし、
をクリックします。
Step 4.
Basic Settings > System > Service control > Syslog traffic, indexing & search: >
Restart syslog-ng の順にクリックし、新しいライセンスを有効にします。
6.3.7 SSB のコンフィグレーションのエクスポート
目的：
SSB の設定ファイルは、手動でのアーカイブ、あるいは他の SSB ユニットへの移行用にエクス
ポートが可能です。Basic Settings > System 画面から、実行したい操作のボタンをクリックしま
す。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
117
図表 6.7 SSB の設定ファイルをエクスポートする
Step：
Step 1.
Basic Settings > System の順にクリックし、Export configuration タブをクリックして展開さ
せます。
Step 2.
設定ファイルをどう暗号化するかを選択します。
暗号化せずにエクスポートするには、No encryption を選択します。
警告
暗号化せずに設定ファイルをエクスポートすることは推奨しません。パスワード
のハッシュや秘密鍵等、重要なデータを含んでいるからです。
パ スワードのみで保護する場合は 、Encrypt with password を選択し、Encryption
password 欄と Confirm password 欄に、パスワードを入力します。
注記
SSB は 150 文字以内のパスワードが使用できます。以下の特殊文字が利用で
きます。 !"#$%&'()*+,-./:;<=>?@[\]^-`{|}
GPG 鍵で暗号化する場合は、GPG encryption を選択します。なお、ここで用いる GPG
鍵は、自動システムバックアップで用いられるときと同一の鍵であること、また、Basic
Settings > Management > System backup で GPG 鍵の公開部分をアップしておかないと
使用できない点にご注意ください。詳細は、4.7.4 設定情報を GPG で暗号化してバック
アップをご参照ください。
Step 3.
Export をクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
118
注記
エクスポートされたファイルは、gzip 圧縮形式になります。Windows 環境で解凍
するには、free-7-Zip tool などの解凍ツールが必要になります。
エクスポートされたファイルのファイル名は、
{ホスト名_of_SSB}-YYYYMMDDHHMM.config になります。パスワード保護で保
存した場合は｢-encrypted｣サフィックス、GPG 暗号化の場合は、｢-gpg｣サフィッ
クスが、それぞれ付加されます。
6.3.8 SSB のコンフィグレーションのインポート
目的：
SSB の設定ファイルは、Basic Settings > System 画面からインポートが可能です。実行したい
操作のボタンをクリックします。
図表 6.8 SSB の設定ファイルのインポート
警告
SSB 2.0 または 3.0 の設定ファイルは SSB4LTS にインポート可能です。1.1 また
は 1.0 の設定ファイは、SSB4LTS にインポートできません。
Step：
Step 1.
Basic Settings > System の順にクリックし、Import configuration タブをクリックして展開さ
せます。
Step 2.
参照をクリックし、インポートすべき設定ファイルを選択します。
Step 3.
設定ファイルがパスワード保護されている場合は、Encryption password 欄に、パスワー
ドを入力します。Upload をクリックします。
注記
SSB は 150 文字以内のパスワードが使用できます。以下の特殊文字が利用で
きます。 !"#$%&'()*+,-./:;<=>?@[\]^-`{|}
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
119
警告
古い設定ファイルをインポートする場合、その設定ファイルをバックアップした
後にログスペースが作成された可能性があります。その場合、そのログスペー
スは、存在していますが、アクセスできない状態になっています。これをアクセ
スできるようにするには、以下を実施する必要があります。
1. Log > Spaces へ移動しログスペースを設定します。Access Control 欄
に入力してください。何も入力しない場合、Search > Logs からログスペ
ースに格納されたメッセージにアクセスすることができません。
2. Log > Paths ページで、ログメッセージをそのログスペースに格納する
path を再作成します。
6.4
SSB のコンソールにアクセスする
ここでは、SSB コンソールメニューの使い方、SSH によるリモート接続の方法、Web インターフェ
イスからの root 権限パスワードの変更方法を説明します。
6.4.1 SSB のコンソールメニューを使用する
SecureShell(SSH)を用いてローカルで、またはリモートアクセスすることにより、SSB のコンソー
ルメニューをお使いいただけます。コンソールメニューから、SSB のもっとも基本的な設定及び
管理項目にアクセスすることが可能になります。なお、コンソールメニューへのアクセスは、主に
トラブルシューティングの目的においてです。メインのインターフェイスは WebUI です。
注記
詳細なホスト情報は、シェルプロンプトで表示されます。
フォーマットは以下です。
(firmware_type/HA_node/hostname)username@HA_node_name:current_working_directory#
例：
(core/master/documentation-ssb)root@ssb1:/etc#
ｆirmware_type is boot または core
HA_node は master または slave
ｈostname は GUI で設定された FQDN
username はいつも root です。
コンソールメニューには、ウェルカムウィザードで設定したパスワードで認証される root ユーザ
がアクセスできます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
120
図表 6.9 コンソールメニュー
コンソールメニューにアクセスすることにより、以下のオペレーションが可能になります。
アクティブなコアならびにブートファームウェアを選択する、あるいは不要なファームウェ
アを削除する。コンソールからのファームウェア管理は、アップグレード後うまく動作しな
い場合、または前バージョンをアクティベートしようとした際、Web インターフェイスからア
クセス不能の場合に役立ちます。
バックアップを開始する
root 及び admin ユーザのパスワード変更
コア及びブートファームウェアのローカルシェルへのアクセス。通常はこの様なオペレー
ションを推奨しません。トラブルシューティングでどうしても必要なときのみ行ってくださ
い。
ネットワークトラブルシューティング機能を使用でき、また、ログファイルを閲覧できます。
システムの再起動及びシャットダウン
シールドモードの ON・OFF。詳細は、6.5 シールドモード をご参照ください。
設定ファイルを前に戻す。詳細は、6.3.5 以前のバージョンのファームウェアに戻す
をご参照ください。
ハイアベイラビリティインターフェイスの IP アドレスを設定する
注記
コンソールメニューにログインすると SSB インターフェイスは自動的にロックさ
れ、コンソールメニューが使用されている間、ユーザは Web インターフェイスに
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
121
アクセスできなくなります。コンソールメニューは、誰も Web インターフェイスを
使用していない場合のみアクセスできます。コンソールメニューに強制的にア
クセスすると、Web インターフェイスのユーザの接続は切断されます。
6.4.2 SSB ホストへの SSH によるアクセスを可能にする
目的：
トラブルシューティングの目的に限定の上、SSH によるコンソールアクセスを行ってください。ウ
ェルカムウィザードを完了させると、SSH によるアクセスは不可能に設定されます。再度可能に
する方法を説明します。
警告
SSH で直接 SSB ホストにアクセスすることは推奨しておりませんし、
サポートの対象外です。ただしトラブルシューティングに関しては例外
です。SSH によるコンソールアクセスを必要とするようなトラブルの際は、
弊社サポートにご連絡ください。問題解決の手順を提示いたします。
SSH によるアクセスを可能にすると、root ユーザとして、リモート環境から SSB にログインできま
す。root ユーザのパスワードは、ウェルカムウィザードで入力されたものが使用されます。Web
インターフェイスから root ユーザのパスワードを変更するには、6.4.3 root ユーザのパスワード
を変更するをご参照ください。
Step：
Step 1.
Basic Settings > Management > SSH settings の順にクリックします。
図表 6.10 SSB へのリモート SSH 接続有効化
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
122
Step 2.
Enable remote SSH access オプションを ON にします。
注記
シールドモードが有効になっている場合、SSH アクセスは自動的に無効に
なります。詳細は、6.5 シールドモードをご参照ください。
Step 3.
リモート SSH 接続の認証方法を指定します。
パスワード認証にするには、Enable password authentication オプションに
チェックを入れます。
公開鍵認証を行うには、Authorized keys 欄の をクリックして公開鍵欄を展開さ
せ、
をクリックして、SSB をリモートアクセス及び管理できるユーザの秘密鍵を
アップロードします。
Step 4.
をクリックします。
SSB の SSH サーバーは、管理インターフェイスが設定されている場合は、その管理
インターフェイスからのみの接続を受け付けます。設定されていない場合は、外部イ
ンターフェイス経由での接続を受付けます。可能な限り、管理インターフェイスが設
定されていない場合に SSH アクセスを可能にはしないでください。管理インターフェ
イスの設定に関して詳細は、4.3.1 管理インターフェイスの設定 をご参照ください。
6.4.3 root ユーザのパスワードを変更する
目的：
root ユーザのパスワードは、SSB のコンソールにローカルで、または SSH でリモート接続する場
合に必要です。root ユーザは、コンソールメニューからもパスワードを変更できることに留意して
ください。詳細は、6.4 SSB のコンソールにアクセスするをご参照ください。
Step：
Step 1.
Basic Settings > Management > Change root password の順にクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
123
図表 6.11 SSB のパスワード変更
Step 2.
New password 欄に、新たなパスワードを入力し、Confirm password 欄に再度入力し
ます。
注記：
SSB のパスワードは 150 文字以内にします。また、以下の特殊文字
を含めることができます。
!"#$%&'()*+,-./:;<=>?@[\]^-`{|}
Step 3.
6.5
をクリックします。
シールドモード
シールドモードが有効になっているとき、以下の設定が自動的に適用されます。
SSH によるリモートアクセスは不可
root ユーザのパスワードは変更不可
シールドモードはローカルコンソールからのみ無効に出来る。詳細は、6.5.1 シールド
モードを無効にするをご参照ください。
シールドモードを有効にするには、以下のいずれかのオペレーションを行ってください。
ウェルカムウィザードで、シールドモードオプションを ON にする。
Web インターフェイスで、Basic Settings > System > Sealed mode の順にクリックし、
Activate sealed mode をクリックする。
ローカルコンソールまたは SSH で、root ログインする。コンソールメニューで、
Sealed mode > Enable の順に押下する。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
124
6.5.1 シールドモードを無効にする
目的：
シールドモードを無効にする手順を説明します。
Step：
6.6
Step 1.
SSB アプライアンスの場所に行きます。
Step 2.
コンソールから、root でログインします。
Step 3.
コンソールメニューで、Sealed mode > Disable の順に押下します。
Step 4.
Back to Main menu > Logout の順に押下します
SSB のアウトオブバンド管理
SSB には、インテリジェントプラットフォームマネージメントインターフェイス（IPMI）V2.0 スタンダード
に準拠した専用のアウトオブバンド管理インターフェイスが含まれています。IPMI インターフェイス
を利用することにより、SSB の OS とは独立して、管理者は SSB のシステムヘルスを監視するこ
とができ、コンピュータのイベントをリモートで管理することができます。SSB は、IPMI インターフェ
イスが物理的にネットワークに接続されているときのみ、IPMI インターフェイスからアクセスできま
す。
IPMI インターフェイスの基本情報は、Basic Settings >High Availability の WEB インターフェ
イスでも確認できます。以下の情報が表示されます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
125
図表 6.12 IPMI インターフェイスの情報
6.7
Hardware serial number: アプライアンスのシリアル番号
IPMI IP address: IPMI インターフェイスの IP アドレス
IPMI subnet mask: IPMI インターフェイスのサブネットマスク
IPMI default gateway IP: IPMI インターフェイス用のデフォルトゲートウェイ
IPMI IP address source: IPMI インターフェイスの IP アドレスの設定方法を表示：
DHCP サーバーから動的に設定、または、スタティック・アドレスとして設定
SSB に適用されている証明書を管理する
SSB は、タスクごとにさまざまな証明書を適用させることが可能です。
Basic Settings > Management > SSL certificate メニューで管理できます。
図表 6.13 SSB における Web 証明書の変更
このメニューで、以下の証明書の設定変更が可能です。
CA 証明書：SSB 内蔵の認証機関の証明書。この機関は、自己署名の証明書ならびに
SSB によって生成された証明書に対して認証をする役割を持っています。例：Web インタ
ーフェイスの証明書、内部タイムスタンプ認証機関(TSA 証明書)
サーバー証明書：SSB と管理者の通信を暗号化するために用いられる、SSBWeb インタ
ーフェイスの証明書
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
126
注記：
この証明書が変更された場合、SSB ユーザのブラウザは、このサイト
の証明書が変更されたことを警告メッセージとして表示します。
TSA 証明書：暗号化されたログ保存領域が作成された際、タイムスタンプを
付与する内部機関の証明書
全ての証明書に関し、X.509 の識別名(DN)と、秘密鍵の指紋が表示されます。証明書全てを表
示させるには、DN をクリックします。秘密鍵の公開部分を表示させるには、指紋の部分をクリッ
クします。SSB において、秘密鍵そのものだけをダウンロードすることは不可能ですが、秘密鍵
のパブリック部分は、さまざまなフォーマットで(例：PEM、DER、OpenSSH、Tectia)ダウンロード
することが出来ます。X.509 の証明書も PEM や DER フォーマットでダウンロードできます。
注記：
ここで説明されている以外の部分では、SSB はさらに別の証明書
を必要とする場合があります。
最初の設定の時、SSB は自己署名した CA 証明書を生成し、これは、Web インターフェイス（サー
バー証明書）とタイムスタンプ局（TSA 証明書）の証明書を発行するために使われます。
SSB の証明書を管理するには２種類の方法があります：
推奨する方法：自分の PKI ソリューションを使って証明書を生成し SSB にアップロードし
ます。
CA 証明書を生成し、この CA で署名された他の２つの証明書を SSB にアップロードしま
す。サーバーと TSA の証明書は、秘密鍵もアップロードします。2048-bit RSA キー（また
は、より強力）の使用を推奨します。詳細は 6.7.2 外部認証による証明書をアップロード
する をご参照ください。
警告
サーバーと TSA 証明書は、同じ CA から発行される必要があります。
SSB で生成された証明書を使う：自己署名した CA 証明書を使用して新しい証明書とキ
ーを生成したい場合、または、新しい自己署名した CA 証明書を生成したい場合、6.7.1
SSB の証明書を生成する をご参照ください。
注記：
御自身の PKI による証明書をアップロードすることも可能です。ただし、SSB に
て生成された証明書は破棄することは出来ないので、脆弱な場合は、セキュリ
ティ面でのリスクになる可能性があります。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
127
6.7.1 SSB の証明書を生成する
目的：
SSB 内蔵の CA を使用し、SSB Web サーバーやタイムスタンプ局用の証明書を生成します。また
は、SSB 内蔵の認証機関向けの新しい自己署名した CA 証明書を生成します。
Step：
Step 1.
Basic Settings > Management > SSL certificate の順にクリックします。
Step 2.
新たな証明書に関する、以下の事項を入力します。
Step a.
Country：SSB が稼動しているサーバーのある国名
Step b.
Locality：SSB が稼動しているサーバーのある都市名
Step c.
Organization：SSB を所有している会社名
Step d.
Organization unit：SSB を所有している会社の部署名
Step e.
State or Province：SSB が稼動しているサーバーのある州または県
Step 3.
生成したい証明書を選びます。
SSB Web インターフェイスの証明書を新たに生成したい場合は、Generate Server
certificate をクリックします。
タイムスタンプ局用の証明書を新たに生成するには、Generate TSA certificate
をクリックします。
SSB 内部の認証機関向け証明書を生成するには、Generate All をクリックします。
この場合は、サーバー及び TSA 証明書も同時に生成されます。
注記：
新たな証明書が生成される過程で、サーバー及び TSA 証明書は、認証局による証
明書の情報を元に署名されます。外部認証局の証明書と秘密鍵をアップロードし
ている場合、新たなサーバー及び TSA 証明書が生成される際には、その証明書が
使用されます。外部認証局の証明書のみ（秘密鍵なし）をアップロードした場合、外
部の PKI ソリューションを使用して新たなサーバーや TSA 証明書を生成します。そ
れを SSB にアップロードします。
警告
新たな認証局を生成すると、以前の証明書は削除されます。
Step 4.
をクリックし、変更を反映させます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
128
6.7.2 外部認証による証明書をアップロードする
目的：
外部の PKI システムで生成された証明書を SSB へアップロードします。
要件：
アップロードするための証明書。TSA とサーバー証明書のために、証明書の秘密鍵も必要です。
証明書は以下の要件を満たす必要があります。
SSB では、PEM フォーマットを使用することができます。DER フォーマットは現在サポート
していません。
SSB では、PEM（RSA と DSA）、PUTTY、SSHCOM/Tectia フォーマットの秘密鍵を使用で
きます。パスワード保護された秘密鍵もサポートします。
注記：
SSB は 150 文字以内のパスワードが使用できます。以下の特殊文字が利用できま
す。 !"#$%&'()*+,-./:;<=>?@[\]^-`{|}
2048-bit RSA キー（または、より強力）の使用を推奨します。
TSA 証明書用に、X509v3 Extended key Usage 属性を有効にし、critical に設定します。
また、そのデフォルト値を Time Stamping にします。
サーバー証明書用に、X509v3 Extended key Usage 属性を有効にし、そのデフォルト値
を TLS Web Server Authentication にします。また、Common Name of the certificate に
は、ドメイン名または SSB ホストの IP アドレスを入れます。
Step：
Step 1.
Basic Settings > Management > SSL certificate の順にクリックします。
Step 2.
修正したい証明書横の
をクリックします。ポップアップ ウィンドウが表れます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
129
図表 6.14 証明書のアップロード
参照をクリックし、証明書を包含しているファイルを選択し、Upload をクリックします。
証明書チェインをアップロードする場合、各証明書ファイルを順次コピーします。別の
方法として、Certificate 欄に証明書をコピーペーストして Set をクリックします。証明
書チェインをコピーペーストするためには、それぞれの証明書を一つずつコピーして
ペーストします。その証明書は順番になっている必要はありません。SSB が並び替
えます。そのチェインはチェックされ、チェインのメンバがない場合、エラーメッセージ
が表示されます。
Step 3.
証明書に関連する秘密鍵をアップロードしたい場合は、修正したい秘密鍵の左の
をクリックします。ポップアップ ウィンドウが表れます。ファイルから選択して Upload
をクリックするか、または中身をコピーして Key 欄に貼り付け、Set をクリックするか、
いずれかの方法でアップデートします。
注記：
証明書チェインの場合、秘密鍵は最下位の証明書と同じでなければなり
ません。
期待される結果：
新しい証明書がアップロードされます。もし、証明 書をインポートした後、 Certificate issuer
mismatch error メッセージが現れたら、その証明書に署名した CA 証明書も同様にインポートしま
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
130
す。（CA 証明書の秘密鍵は必須ではありません）
注記：
以前アップロードした証明書をダウンロードするためには、証明書（また
は証明書チェイン）の上をクリックします。1 つの PEM か DER ファイル、
または、証明書別のファイル（証明書チェインの場合）でダウンロード
できます。
6.7.3 Windows 認証局を用いて TSA 証明書を生成
Windows CA（認証局）を用いて TSA 証明書を生成する手順を説明します。手順は、OpenSSL が実
行できるコンピューターで CSR（certificate signing request）を作成し、それを Windows 上で
Windows CA（認証局）を用いて署名します。そして、SSB のタイムスタンプ用に SSB にインポートし
ます。
要件：
下記のエクステンションを指定した、OpenSSL 用の正式なコンフィグレーションファイルが必要
です。
[ tsa_cert ]
extendedKeyUsage = critical,timeStamping
SSB から、/etc/xcb/openssl-ca.cnf を署名に使うコンピューターへコピーし、ファイル名を
openssl-temp.cnf に変更します。
Steps:
Step 1.
新しい設定ファイルを使用して CSR を生成します：
openssl req -set_serial 0 –config
openssl-temp.cnf -reqexts tsa_cert -new -newkey rsa:2048 -keyout timestamp.key
-out timestamp.csr –nodes
Step 2.
環境に応じて、要求された欄に入力します。
Generating a 2048 bit RSA private key
........................+++
......................................+++
writing new private key to 'timestamp.key'
----You are about to be asked to enter information that will be incorporated
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
131
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
----Country Name (2 letter code) [AU]:HU
State or Province Name (full name) [ ]:Budapest
Locality Name (eg, city) [ ]:Budapest
Organization Name (eg, company) [Internet Widgits Pty Ltd]:BalaBit IT Security
Organizational Unit Name (eg, section) [ ]:Service Delivery
Common Name (eg, YOUR name) [ ]:scb35-1-i1.tohuvabohu.balabit
Email Address [ ]:[email protected]
Step 3.
この step は、Windows Server 2008 向けです。Windows Server 2012 の場合、次の
step に進んでください。
Windows CA で生成された CSR に署名します。Windows CA サーバーから CSR にア
クセスできることを確認しておきます。
Step a.
新 CSR に署名して発行するため、Microsoft Certificate Authorith Management
Console を開きます: Start > Run をクリックし、certsrv.msc を実行します。
Step b.
サーバー名の上を right-click（マウスの右ボタンをクリック）し、
All Tasks > Submit new request... をクリックします。
図表 6.15 新しいリクエストを申請
Step c.
生成された CSR を選びます。
Step d.
左のペインの Pending Request をクリックします。右のペインに新しい証明書
のリクエストが表示されます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
132
図表 6.16 新しい証明書を発行
Step e.
新しい SSL 証明書を発行するため、保留している証明書のリクエスト上を
right-click（マウスの右ボタンをクリック）し、"All Tasks"を選択、"Issue"をクリ
ックします。
Step f.
"Issue Certificates"を選択し、上記で発行された証明書の上をダブルクリック
します。
Step g.
CA Certificate ウィンドウが開きます。Details タブをクリックします。Enhanced
Key Usage 欄が表示され Time Stamping 値が入っていることを確認します。
図表 6.17 証明書の詳細を確認
Step h.
Copy to file をクリックします。Certificate Export Wizard が起動しますので、
Next をクリックします。
Step i.
証明書のフォーマットを選択します：Base-64 encoded X.509 (.CER)を選んで、
Next をクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
133
図表 6.18 証明書のファイルフォーマットを選択
Step j.
証明書を格納する場所を選択し格納します。
Step k.
Completing the Certificate Export Wizard 画面が表示されます。
Finish をクリックします。
Step 4.
これは、Windows Server 2012 用です。
タイムスタンプサーバテンプレートを認証局に生成して設定します。それを使用して
TSA 証明書を生成します。
Step a.
Certification Authority Microsoft Management Console を起動し、CA サー
バーを選択します。
Step b.
Certificate Templates の上を right-click（マウスの右ボタンをクリック）し、
Manage を選択します。
図表 6.19 証明書のテンプレートを管理
Certificate Templates Console が開きます。
Step c.
Web Server テンプレートの上を right-click（マウスの右ボタンをクリック）し、
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
134
Duplicate Template を選択します。
Properties of New Template のウィンドウが表示されます。
Step d.
新しいテンプレートに次の変更を加えます。
General tab にて、Template display name を TSA に変更します。
図表 6.20 新しいテンプレートの作成
Request Handling タブで、Allow private key to be exported オプショ
ンを有効にします。
Extensions タブで、以下の変更を加えます。
Application Policies を編集： Server Authentication を削除し Time
Stamping を追加、Make this extension critical オプションを有効にし、
OK をクリックします。
Key Usage を編集： Signature is proof of origin オプションを有効にし
て、OK をクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
135
図表 6.21 新しいテンプレートのプロパティの設定
Security タブで、Authenticated Users を選択し、Enroll を Allowed に
設定します。
図表 6.22 テンプレート用のアクセス権を設定
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
136
Step e.
Apply を選択します。TSA テンプレートがテンプレートのリスト内に表示され
ます。
Step f.
Certificate Authority のメイン画面に戻り、Certificate Template フォルダを
選択します。リストの下を Right-click（マウスの右ボタンをクリック）し、
New > Certificate Template to Issue を選択します。
Enable Certificate Templates ウィンドウが表示されます。
図表 6.23 新しいテンプレートを有効にする
Step g.
TSA 証明書のテンプレートを選択し、OK をクリックします。
Step h.
コマンドラインを開き、以下のコマンドを実行します。
certreq -submit -attrib "CertificateTemplate:TSA" <CSR>
<CSR>部分を前記の step で作成した CSR のフルパスに置き換えます。
Step i.
Certification Authority List が表示されます。CA を選択します。
Step j.
Save Certificate のウィンドウが表示されます。output フォルダを選択しま
す。証明書が指定したフォルダに作成されます。
Step 5.
SSB の画面で、Basic Settings > Management > SSL certificate を順にクリックしま
す。
Step 6.
TSA X.509 certificate の横のアイコン
をクリックし、以前作成した証明書を見つけ
て、Upload をクリックします。
Step 7.
TSA private key の横のアイコン
をクリックし、以前作成したキーを見つけて、
Upload をクリックします。
注記：
SSB で別の証明書のために使用されたルート CA（Basic Settings >
Management > SSL certificate にある CA x.509 certificate）が、TSA 証明
書に署名するために使用された CA と異なる場合、警告が表示されま
す。この場合、警告を無視してください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
137
6.8
ホストリストポリシーを作成する
SSB では、例えばログを送信するクライアントを限定する、あるいは共有スペースに蓄積されたロ
グへアクセスできるホストを限定する、といった場合に「ホストリスト」をあらかじめ作成して、適用さ
せます。
ホストリストの作成手順に関しては、6.8.1 ホストリストを作成する
ホストリストをファイルからインポートする手順に関しては、6.8.2 ファイルからホストリスト
をインポートする
をそれぞれご参照ください。
6.8.1 ホストリストを作成する
目的：
新たなホストリストを作成する手順を説明します。
Step：
Step 1.
Policies > Hostlist の順にクリックし、 をクリックして展開させます。
Step 2.
ホストリストの名前を決定し、入力します。(例：servers)
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
138
図表 6.24 ホストリストの作成
Step 3.
許可するホストの IP アドレスを、Match > Address 欄に入力します。その際、サブ
ネットマスクを付加することもできます。(プリフィックス表記。例：192.168.1.0/24)さら
にホストを追加する場合は、入力欄右下の をクリックし、この手順を繰り返します。
Step 4.
許可しないホストを設定する場合は、Ignore > Address 欄に、該当するホストの IP
アドレスを入力します。
ヒント
いくつかのホストを除いて全てのホストを許可とする場合は、Match のリスト
には IP アドレス 0.0.0.0/0 を、そして Ignore のリストに、許可しないホストの
アドレスを入力します。
Step 5.
をクリックします。
警告
ホストリストを作成/変更したら、Basic Settings > System > Service control >
Syslog traffic, indexing & search の順にクリックし、Restart syslog-ng を選択し
て、変更を反映させてください。
6.8.2 ファイルからホストリストをインポートする
目的：
テキストファイルからホストリストをインポートする方法を説明します。
Step：
Step 1.
ホストリストのポリシーと、IP アドレスを含んだテキストファイルを作成します。
記述されている全ての行の IP アドレスまたはネットワークがポリシーに追加されます。
書き方は以下の形式です；
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
139
ポリシー名；{ignore|match}；IP アドレス
例：192.168.5.5 のホストは不許可、サブネット 10.70.0.0/24 内の全ホストを許可する場合
policy1;ignore;192.168.5.5
policy2;match;10.70.0.0/24
同じポリシーに複数のホストまたはネットワークを含める場合、全てを 1 行ごとに記述
します。以下が例です。
policy1;ignore;192.168.7.5
policy1;ignore;192.168.5.5
policy1;match;10.70.0.0/24
Step 2.
Policies > Hostlists > Import from file の順にクリックし、参照をクリックしてインポート
するファイルを選択します。
図表 6.25 ホストリストのインポート
Step 3.
既存のポリシーに、新たにホストを追加する場合は、Append を選択します。これから
アップロードするホストリストで、既存のリストを上書きする場合は、Replace を選択し
ます。
Step 4.
Upload をクリックし、その後、
をクリックします。
警告
ホストリストを作成/変更したら、Basic Settings > System > Service control >
Syslog traffic, indexing & search の順にクリックし、Restart syslog-ng を選択し
て、変更を反映させてください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
140
7
メッセージソースの設定
SSB は、"sources"パラメータにより、リモートホストからログメッセージを受信します。デフォルト
でも、数多くのソースが設定されており、新たなソースを設定することも可能です。またそれとは
別に、SSB は SNMP プロトコルによるメッセージの受信と、それらをシスログメッセージに変換す
ることも可能です。
SSB 組み込みのメッセージソースに関して詳細は、7.1 SSB のデフォルトのメッセージソ
ース
SNMP メッセージ受信に関して詳細は、7.2 SNMP メッセージの受信
新たなメッセージソースを作成する手順の詳細は、7.3 SSB でメッセージソースを作成
する
新たな SQL メッセージソースの作成方法の詳細は、7.4 SQL メッセージソースの作成
を、それぞれご参照ください。
7.1
SSB のデフォルトのメッセージソース
SSB は、以下の、組込み済みのソースから自動的にログメッセージを受信できます。
図表 7.1 SSB のデフォルトメッセージソース
legacy： BSD シスログプロトコル、ポート 514 番で転送されてくる UDP メッセージを受信
tcp： IETF シスログプロトコル(RFC 5424)、ポート 601 番で送られる TCP メッセージを受
信
tls： TLS により暗号化されたメッセージ（ポート 6514 番の IETF シスログプロトコル）を受
信。SSB とリモートホスト間で相互認証が必要です。リモートホスト側は、証明書(必ずし
も有効である必要は無い)の提示を求められます。SSB は、ウェルカムウィザードで生成
された証明書をリモートホストに送信します。
ｔｃｐ_legacy: BSD シスログプロトコル(RFC 3164)、ポート 514 番で送られる TCP メッセー
ジを受信
各種設定に関して詳細は、7.3 SSB でメッセージソースを作成するをご参照ください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
141
注記：
デフォルトのメッセージソース全てで、名前解決が可能です。
7.2
SNMP メッセージの受信
目的：
SSB は、SNMPv2c プロトコルを用いて、SNMP メッセージを受信でき、また受信したメッセージ
をシスログメッセージに変換することが可能です。SNMP メッセージは、特別な SNMP ソースを、
他のログメッセージ同様にログパスに定義することによって送受信が可能になります。SNMP
メッセージの送受信を行う方法を説明していきます。
Step：
Step 1.
Log > Options > SNMP source の順にクリックします。
Step 2.
SNMP source のチェックが入っていることを確認します。
図表 7.2 SNMP メッセージの受信
Step 3.
SNMP メッセージのデフォルトのコミュニティは、public です。もしリモートホストが
異なるコミュニティ名をお使いなら、それに合せてください。
注記：
SSB は、1 つのコミュニティからのみ、SNMP メッセージを受信できます。
Step 4.
SNMP メッセージを送信してくるホストを限定するには、まずホストリストポリシーを
作成し、そのポリシーに許可するホストを追加します。Hostlist 欄から、ポリシー（許
可するホスト群）を選択します。ホストリスト作成に関して
詳細は、6.8 ホストリストポリシーを作成するをご参照ください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
142
Step 5.
メッセージが転送されてくる量を制限するには、Rate limit 欄に、SSB が 1 つのホスト
から受け入れられる上限のパケット数(メッセージ数ではありません)を入力します。
(この設定値は、ソースに適用される、iptables パケットフィルターの hashlimit
パラメータをセットします)
警告
Rate limit が設定されている状態でホストからその上限を超えるメッセージが送信
されると、Rate limit 欄に入力された値までのログメッセージを処理し、それ以上は
捨てられます。ほぼ確実に、捨てられたログメッセージは喪失します。
Step 6.
Step 7.
7.3
名前解決をさせたい場合は、Use DNS オプションのチェックを入れます。
をクリックします。
SSB でメッセージソースを作成する
目的：
カスタムメッセージソースを作成する手順を説明します。
Step：
Step 1.
Log > Sources の順にクリックし、
をクリックして新たな入力欄を展開させます。
Step 2.
青地のタブ部分の入力欄に、ソースの名称を入力します。あとで、どのソースかわかり
やすい名称にしてください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
143
図表 7.3 新たなメッセージソースの作成
Step 3.
Syslog を選択します。
Step 4.
Listening address プルダウンで、SSB がログメッセージを受信する、エイリアス IP アドレ
スを選択します。
Step 5.
Listening port 欄に、SSB がログメッセージを受信するポート番号を入力します。
Step 6.
このソースに向けてホストから送信される情報が信頼できるなら、Trusted のチェックを
入れます。SSB は、"trusted"ホストからのログメッセージに含まれているタイムスタンプ
とホスト名を保持します。なお、これらは syslog-ng の keep_time_stamp()ならびに
keep_hostname()オプションを有効にすることに相当します。
Step 7.
Transport 欄にて、クライアントが SSB にログメッセージを送信する際に用いるプロトコル
(UDP、TCP または TLS)を選択します。TCP または TLS を選択した場合、Maximum
connection 欄に、クライアントの最大同時接続数を設定することができます。なお、これ
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
144
は syslog-ng の max_connections()オプションに値を設定することに相当します。
TLS を使用する場合、SSB はクライアントに対し証明書を提示します。これは、Log >
Options > TLS settings にて設定できます(詳細は、11.4 TLS 暗号化ログ送受信に用いる
証明書の設定をご参照ください) 。オプションとして、SSB にリモートホストとの間の相互
認証と、リモートホストに対して証明書の提示要求とその信頼性の検証を行わせること
ができます。Log > Options > Peer verification 欄で、以下の中から、検証に用いる方法
を選択してください。
None：証明書提示をリモートホストにリクエストしない。また、リモートホストから
提示された証明書は全て受け付ける。
Optional Tursted：リモートサーバーが証明書を提示したら、SSB はそれが有効期限
内か、また Common Name に、ホストの IP アドレスあるいはドメイン名が含まれている
かをチェックする。このチェックで引っかかると、SSB は接続を拒否する。ただし、リモ
ートホストが証明書を提示しない場合は、接続を許可する。
Optional untrusted：リモートホストは必ず証明書を提示しなくてはならない。SSB は、
それがどんな証明書であっても受付けて、接続する。
Required trusted：リモートホストの証明書を検査する。認証局によって署名された証
明書のみ受付ける。認証局による証明書に関して詳細は、6.7.2 外部認証による証
明書をアップロードするをご参照ください。証明書の Common Name に、ホストのドメ
イン名か IP アドレスのいずれかが含まれている必要がある。
Request untrusted：SSB は、リモートホストに証明書提示をリクエストし、リモートホス
トが証明書を提示しない場合は接続を拒否する。しかしながら、以下の場合は接続
を許可します。
・証明書が無効（有効期限切れ）の場合
・Common Name 内に、ホストのドメイン名または IP アドレスが含まれていない場合。
警告
UDP は非常に信頼性の低いプロトコルです。何の警告も無しに、大
量のログメッセージが喪失する危険性があります。可能な限り、TCP
か TLS をお使いいただくことを推奨します。
Step 8.
Syslog protocol 欄で、クライアントが使用するシスログ転送プロトコルを指定します。
クライアントが BSD プロトコル(RFC3164 準拠)で送信するのであれば、Legacy を選択
します。これは、シスログを送信するほとんどのデバイスまたはアプリケーションがサ
ポートしているプロトコルです。
クライアントが IETF プロトコルを使用するのであれば、Syslog を選択します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
145
（例：クライアントが syslog-ng 3.0 アプリケーションで、syslog ドライバー、あるいは
flags (syslog-protocol) オプションを使うその他のドライバーを用いている場合）
Step 9.
Encording 欄で、受信するログメッセージの文字コード変換を、Timezone 欄で標準時を、
必要に応じて設定します。
Step 10. ログ送信元ホストの完全ドメイン名を保持したい場合は、Use FQDN にチェックを
入れます。
Step 11. Use DNS 欄で、名前解決の方法を指定します。
Step 12. ログ転送をしてくるホストを限定する場合は、まずホストリストを作成し、Hostlist から選
択します。ホストリスト作成に関して詳細は、6.8 ホストリストポリシーを作成するをご参
照ください。
Step 13. ある理由で、ソースに到着したメッセージが標準のシスログメッセージフォーマットに準
拠しない場合は、Do not Parse message オプションを選択してください。このオプション
はシスログメッセージの解析を停止し、シスログメッセージの全体を MESSAGE 部分とし
て扱います。他の情報（タイムスタンプ、ホスト、等）は、SSB によって自動的に追加され
ます。
標準のシスログメッセージフォーマットに準拠していないログメッセージのために解析を
無効にしているが、標準のメッセージを解析したい場合、Ignore ambiguous program field
オプションを選択できます。これは、SSB が非標準のシスログメッセージの最初のログメ
ッセージの単語をプログラム名として扱い、予期しない振る舞い（例：統計が異常にな
る）をすることがあり、これを回避することができます。
Step 14. ソースのために、メッセージレートアラートを設定する場合、4.6.4 メッセージレートアラー
トの設定をご参照ください。
Step 15.
をクリックし、変更を反映させます。
注記：
ここで設定したソースに到達したメッセージを実際に格納するには、この
ソースをログパスに組み入れる必要があります。詳細は、10 .ログパスを
管理するをご参照ください。
7.4
SQL メッセージソースの作成
SQL データベースにログメッセージを格納するアプリケーションが多くあります。SSB は SQL データ
ベースのテーブルからリアルタイムにメッセージを引き出すことができます。ネットワークでメッセー
ジを受信するのと同様です。
7.4.1 SQL データベースからログを取り出す
目的：
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
146
メッセージソースとして SQL データベースを使用するためには、次の手順でパラメータを設定しま
す。
Step:
Step 1.
Log > Sources に移動して をクリックします
Step 2.
ソースの名前をトップの欄に入力します。ソースが良く分かるように名付けます。
図表 7.4 SQL データベースからのフェッチ（ログの取出し）
Step 3.
SQL を選択します。
Step 4.
Database type を選択します。
Step 5.
データベースサーバーのホスト名または IP アドレスを入力します。
Step 6.
データベースサーバーのポート番号を入力します。データベースのデフォルトポートを使
用するには、Set Default Port をクリックします。
Step 7.
データベースユーザの名前とパスワードを入力します。
注記：
SSB は 150 文字数以内のパスワードを受付けます。以下の特殊文字を
使用することができます。 !"#$%&'()*+,-./:;<=>?@[\]^-`{|}
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
147
Step 8.
接続するデータベースを入力します。
Step 9.
Test connection and fetch tables をクリックします。SSB はデータベースからテーブルを
読み出します。
注記：
SSB は次の文字を含むテーブル名のみ読み込みます。
数字、大小文字、ハイフン（-）、アンダースコア（＿）、ハッシュタグ（#）、
ドルサイン（$）。句読点（.）や他の文字が含まれるテーブル名は
対象外です。
7.4.2 ベーシックモードでメッセージ部分の設定
目的：
数クリックで SQL メッセージソースを作成します。次に手順を説明します。
Step：
Step 1.
シンプルな構成の場合、Basic mode を選択します。アドバンスな構成の場合（手動でフ
ェッチクエリを作成など）、7.4.3 アドバンスモードでメッセージ部分を設定 をご参照くだ
さい。
図表 7.5 ベーシックモードでメッセージ部分の設定
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
148
Step 2.
モニターする Table の名前を選択します。
注記：
SSB は次の文字を含むテーブル名のみ読み込みます。
数字、大小文字、ハイフン（-）、アンダースコア（＿）、ハッシュタグ（#）、
ドルサイン（$）。句読点（.）や他の文字が含まれるテーブル名は
対象外です。
Step 3.
Unique ID column を選択します。これは単調増加するユニークな ID で数値のカラムです。
注記：
SSB は Unique ID column がゼロ以上の行のみを読み込みます。
Step 4.
タイムスタンプのあるカラムを選択します。
タイムスタンプカラムが日付と時間の場合、リストから選択します。
タイムスタンプの日付と時間が別のカラムの場合、[Set date and time separately]を
選択します。それからタイムスタンプの日付と時間のカラムでそれぞれのドロップー
ダウンメニューからセットします。
Step 5.
オプションとして、Host と Program カラムを選択します。
Step 6.
Timezone を選択します。
Step 7.
メッセージを送信しているシステムのパートを選択します。（Facility）
Step 8.
メッセージの重要性を選択します。（Severity）
Step 9.
さらに進んで処理ができるように全カラムを SDATA に入れます。そのためには、Put all
columns into SDATA を有効にします。
注記：
アドバンスモードの場合、特定の選ばれたカラムのみ（SQL クエリで検索
したカラム）を SDATA に入れることが可能です。
Step 10. データベースのテーブルをできるだけ早く読み込むためには、Fast follow mode を有効
にします。
注記：
SSB はデータベースを周期的（それぞれ 1 回のクエリ）に読み込みます。
各クエリは 3,000 レコードまでフェッチします。Fast follow mode を有効に
すると、その時にある全レコードを全てフェッチするまでデータベースをク
エリし続けます。
Step 11. まだ読み込んでいないテーブルがある場合、テーブルの最初からレコードを読み込むた
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
149
めには、Read old records を有効にします。無効な場合は、新しいレコードのみ読み込み
ます。
Step 12. クエリする間隔のインターバルタイムを設定するには、Fetch data in every X seconds を
セットします。syslog-ng アプリケーションは、指定されたタイムフレームで一回のクエリを
実行します。（最大 3,000 レコード/1 回のリードオペレーション。）
Step 13. SSB で異常を検出するためには、Message rate alerting を有効にします。詳細は 4.6.4
メッセージレートアラートの設定 をご参照ください。
注記：
SQL ソースの場合、Messages のみが測定されます。
Step 14. Test data retrieving をクリックします。結果がポップアップ ウィンドウで表示されます。
7.4.3 アドバンスモードでメッセージ部分を設定
目的：
より柔軟な SQL ソースの設定、例えば手動でクエリを設定などの場合、次の手順を実施します。
Step:
Step 1.
Advanced mode を選択します。よりシンプルな設定は、7.4.2 ベーシックモードでメッセー
ジ部分の設定 をご参照ください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
150
図表 7.6 アドバンスモードでメッセージ部分を設定
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
151
Step 2.
手動でフェッチクエリを作成します。詳細は、7.4.4 手動でフェッチクエリを作成 をご参
照ください。
Step 3.
MSSQL を使用する場合、または SQL エラーや予期しない結果になった場合、データベ
ースの最後の UID を見つけるためカスタムクエリを指定してください。
Step 4.
Timezone を選択します。
Step 5.
メッセージを送信しているシステムのパートを選択します。（Facility）
Step 6.
メッセージの重要性を選択します。（Severity）
Step 7.
さらに進んで処理ができるように全カラムを SDATA に入れます。そのためには、Put all
columns into SDATA を有効にします。
注記：
アドバンスモードの場合、特定の選ばれたカラムのみ（SQL クエリで検索
したカラム）を SDATA に入れることが可能です。
Step 8.
データベースのテーブルをできるだけ早く読み込むためには、Fast follow mode を有効
にします。
注記：
SSB はデータベースを周期的（それぞれ 1 回のクエリ）に読み込みます。
各クエリは 3,000 レコードまでフェッチします。Fast follow mode を有効に
すると、その時にある全レコードを全てフェッチするまでデータベースをク
エリし続けます。
Step 9.
まだ読み込んでいないテーブルがある場合、テーブルの最初からレコードを読み込むた
めには、Read old records を有効にします。無効な場合は、新しいレコードのみ読み込み
ます。
Step 10. クエリする間隔のインターバルタイムを設定するには、Fetch data in every X seconds を
セットします。syslog-ng アプリケーションは、指定されたタイムフレームで一回のクエリを
実行します。（最大 3,000 レコード/1 回のリードオペレーション。）
Step 11. SSB で異常を検出するためには、Message rate alerting を有効にします。詳細は、
4.6.4 メッセージレートアラートの設定 をご参照ください。
注記：
SQL ソースの場合、Messages のみが測定されます。
Step 12. Test data retrieving をクリックしてください。結果がポップアップ ウィンドウで表示されま
す。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
152
7.4.4 手動でフェッチクエリを作成
フェッチクエリの作成には、次の手順を実施します。
警告
SSB は、カスタマイズしたクエリの内容について、確認や制限などしていませ
ん。そのため、書き込みをするようなアクセスはデータベースを変更でき、デー
タを害する可能性があります。クエリの使用には十分注意し、自身の責任で使
用してください。
クエリは次のカラム名でメッセージ部分を返さなければなりません。
uid:
uid カラムは、ユニークな番号でなければなりません。番号は単調に増加しなければなり
ません。SSB は、最後に読込んだ uid を $last_read_uid マクロに保存します。テーブル全
体を再読込するのを避けるために、最後に read したレコードより新しいレコードを抽出し
ます。
そのため、WHERE <ID を含んだカラム名> > $last_read_uid 文をクエリに追加します。
（注意：$last_read_uid は SSB により適切に置き換えられます。）
冗長な検索結果を避けるため、クエリの最後に次の文を追加してください。
ORDER BY <ID を含んだカラム名>
datetime または date と time:
SSB は、ログメッセージのタイムスタンプとして datetime カラムの内容を使用します。次
のカラムタイプをサポートしています。
・MySQL：timestamp、datetime、int
・PostgreSQL：timestamp、int
・Oracle：timestamp、int
・MSSQL：datetime、int
タイプが int の場合、SSB は UNIX timestamp から成っていると仮定します。
date と time と分かれたカラムを使用する時、date カラムは date タイプでなければなりま
せん。time カラムは time タイプでなければなりません。
message:
message フィールドはログされたメッセージから成っていなければなりません。
host（オプション）
program（オプション）
host、program、timezone パラメータはカラムまたは固定値から選択できます。timezone はタイム
シフトした値（time zone の名称ではない）から成っていなければなりません。例えば、host として
"myhost"、program として"myprogram"、timezone <further-parts-of-the-query>として"+1:00"を
選択します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
153
注記：
クエリはコメントを含んではなりません。
例 7.1 SQL source fetch_query
次は、最後に読込んだレコードより古いレコードをクエリしま
す。
SELECT * FROM <テーブル名> WHERE uid > $last_read_uid
ORDER by uid LIMIT 3000
テーブルから最後の UID を読込むためのクエリ
MSSQL database を使用している場合、または、SQL エラーまたは予期しない結果になった場合、
最後の UID を見つけるカスタムクエリを作成してください。
データベース内の最初の場所を見つけるため、テーブルの最後の UID は必要です。デフォルトで
は、SSB はこの目的のために作成したクエリから"uid"カラムの最大値を利用します。しかしながら、
要求した結果が生成されない場合、カスタムクエリを作成することができます。
"Read old records"オプションがこのデータベースソース用に有効な場合、このフィールドは利用で
きません
例 7.2 テーブルから最後の UID を読込むためのクエリ
次はテーブルの最後の UID をクエリします。
SELECT max uid FROM <further-parts-of-the-query>
注記：
MSSQL または MySQL データベースを使用している場合、フェッチクエリ
の結果の数を制限しなければなりません。
例えば： SELECT top x <further-parts-of-the-query>
この制限は、SSB 内部の制限（3000）より低くなければなりません。制限
を 3000 以上にした場合、制限は無視され、性能問題となります。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
154
8
SSB にログメッセージを蓄積する
SSB は、log spaces(ログスペース) と呼ばれる領域に、バイナリまたはプレーンテキスト形式でロ
グメッセージを蓄積していきます。この領域は、syslog-ng の logstore()と、file() デスティネーション
に相当します。ログスペースは、SSB サーバーのローカル環境に蓄積することができます。
デフォルトで生成される logspaces に関して詳細は、8.1 SSB のデフォルトログスペース
暗号化されたログファイル(ログストア)を使用する際の重要な情報は、8.3 ログストアを
使う
追加のログスペースを作成する手順は、8.4 SSB にカスタムメッセージスペースを構築
する
ログスペースの管理に関して詳細は、8.5 ログスペースの管理
ログスペースを、あたかもネットワークドライブのようにアクセスできるようにする手順は、
8.6 ネットワーク経由でログファイルにアクセスする
を、それぞれご参照ください。
8.1
SSB のデフォルトログスペース
SSB には、以下のログスペースがデフォルトで作成済です。全ての受信ログメッセージはこの領
域に蓄積されます。
図表 8.1 デフォルトログスペース
local： 非暗号化、バイナリ形式で、SSB 自身のログを蓄積する領域
center： 非暗号化、バイナリ形式で、クライアントから受信したログメッセージを蓄積する領域
8.2
インデクサ（インデックス付け）を設定する
Logs > Spaces の順にクリックし、表示させたいログスペースのタブをクリックします。
インデクサは、選択されたフィールドのインデクスを作成し、そのフィールドを検索可能にします。
インデックスが付加されると、その分ディスク領域を消費し、CPU の負荷が増します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
155
Memory limit 欄で、そのログスペースにおいてインデクサ（インデックス付け）が使用できるメモ
リ領域の上限値を設定します。
Indexed fields 欄で、インデックスを付加したいフィールドを選択します。以下のフィールドにイン
デックスを付加することができます。Facility、Priority、Program、Pid、Host、Tags、Name/value
pairs、Message。Name/value フィールドに関し、全ての パラメータ名－値 のペアにインデック
ス付加する場合は、その下の All を選択します。指定した名前のみにインデックスを付加する場
合は、Only with the name を選択します。後者の場合、コンマで区切られたフィールド名を、
comma separated list of names 欄に入力します。Message フィールドにインデックス付加がされ
ている場合、現在適用されているデリミタが表示されます。
デフォルトでは、全フィールドがインデックス付加になっています。
注記：
少なくとも 1 つのフィールドにインデックスが付加されている
必要があります。
注記：
メッセージ部分の空白文字（スペース）を検索することはできません。これ
は、デリミタ文字としてプログラム内ですでに定義されているためです。
8.2.1 インデクサの制限
メッセージは、指定されたセパレータ文字にもとづいてトークン化されます。メッセージの
最初の 512 トークンのみがインデクス化され、残りは無視されます。この制限は他の静
的フィールド（PROGRAM、HOST など）、または name-value ペア（パターン DB で追加）、
または SDATA からの値に影響を与えません。
空白文字（スペース、タブなど）は常にデリミタとして扱われます。
2 文字より短いトークンはインデクス化されません。
トークンは 59 文字に切り詰められます。そのため、最初の 59 文字が同じプレフィックス
を持つトークンは同じに処理されます。
name/value ペアをインデクス化する時、この 59 文字制限はこのフォーマットにも適用さ
れます： "<name-of-nvpair>=<value-of-nvpair>"
長い name を使用しないようにしてください。value 部分が早期に切り詰められるのを避け
るめです。
インデクス化されたログの数は、4,294,967,296（2 の 32 乗）/ 日毎 / ログスペース毎
以上になることができません。これは約 50,000EPS が持続するトラフィック（通信量）にな
ります。これ以上のメッセージを受信し保存する場合、別のログスペースに分割してくだ
さい。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
156
検索と統計データ生成の最小の対象期間は 1 分です。これ以上短い時間間隔は使用で
きません。
文字列"NOT"は、検索用の最初のキーワードとして使用できません。
メッセージ内のトークンの順番は保持されません。そのため、以下のようになります。
一 つ の メ ッ セ ー ジ に 'first_token second_token' が あ り 、 別 の メ ッ セ ー ジ に
'second_token first_token' がある場合、'first_token second_token' と検索すると、両方
のメッセージが見つかります。
8.3
ログストアを使う
このセクションは、ログメッセージを蓄積するログストアファイルに関しての重要な情報と、
現在のバージョンにおける技術的な限界について説明します。技術的限界については、
将来リリースされるバージョンにて、順次解消される予定です。
SSB バージョン 1.0.x までは、暗号化されて蓄積されたログを Web インターフェイスから
ブラウズすることができませんでした。これは 1.1 において解消されています。詳細は、
12.2 暗号化されたログスペース内のブラウズ をご参照ください。
ログストア内のファイルにインデックスを付加するのは、現バージョンでは限界がありま
す。インデクサ（インデックス付け）は 1 日分の ログストア内の 1 ファイルにしか、インデ
ックス付加ができません。(SSB は、日付が変わるとログファイルを自動的に新しくします。
これは、syslog-ng の$DAY マクロに相当します)ただし、送信元ホストあるいはアプリケ
ーションごとにログファイルのファイル名を分けるようなマクロをお使いの場合、またはよ
り細かい時間指定のできるマクロ(例：$HOUR)を仕込んだカスタムテンプレートをお使い
の場合は、現状では日々の最初のファイルのみ、インデックスが付加されます。
ログストア内のファイルは、チャンク(塊)で構成されています。まれとはいえ、SSB 上で稼
動している syslog-ng アプリケーションが、何らかの理由でクラッシュした場合、チャンク
もクラッシュします。チャンクはログメッセージを含んでおり、しかし不完全な状態のまま
になってしまいます。しかし、SSB バージョン 2 F1 から SSB 上で動作する syslog-ng ア
プリケーションはログメッセージがログストアファイルに書かれる前に、ジャーナルファイ
ルを作成します。そのため、ログストアファイルは予期せぬクラッシュの間も一貫性をた
もち、メッセージの消失を避けることができます。同様に、もしインデクサ（インデックス付
け）がクラッシュした場合は、ログストア内の一部のログメッセージにインデックスが付か
ないままになってしまう可能性があります。そうすると、そのログは検索してもヒットしま
せん。しかし、これは、メッセージが消失したことを意味しません。現在、ファイルをリイン
デックスすることはできません。
これらの限界は、将来リリースされるバージョンで対応される予定です。
8.3.1 "logcat"コマンドで、暗号化されたログを閲覧する
ログストア内のファイルにアクセスする方法は、以下のいずれかです。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
157
ネットワーク共有を用いてアクセスする(推奨)－詳細は、8.6 ネットワーク経由でログファ
イルにアクセスするをご参照ください。
SSB にローカルで、あるいは SSH でリモートログインする
ログストア内のファイルのコンテンツを表示させるには、syslog-ng における"logcat"コマンド
を用います。例：logcat /var/log/messages.lgs
暗号化されたログファイルを表示させるには、暗号化で用いられた、証明書の秘密鍵を指定
します。例：logcat -k privete.key /var/log/messages.lgs
ログストア内のファイルは、標準出力形式で保存されているので、例えば grep などのツールを
使って特定のログを検索することが可能です。例：logcat /var/log/messages.lgs | grep
192.168.1.1
ログストアに蓄積されている全てのログレコードは、ユニークなレコード ID を保持しています。
logcat アプリケーションは、- - seek オプションにより、特定のレコードにすばやくたどり着くこと
ができます。
syslog-ng によって生成されるファイルの、現在書込みがされているチャンクは、開き、また読込
むことができません。チャンクは、ファイルサイズが chunk_size パラメータで指定されている大き
さを超えるか、あるいは chunk_time パラメータで指定されている時間を越え、新たなログメッセ
ージが到着しない場合に初めてクローズされます。
ログストア内のファイルが暗号化されている場合、全てのチャンクに対してハッシュが生成され
ます。これは、チャンクの整合性を検証するためです。各チャンクのハッシュは連結され、それ
によって、不整合な形でチャンクがはさまることを防止しています。暗号化のアルゴリズムは、
CBC モードの aes128、ハッシングのアルゴリズムは hmac-sha1 です。
警告
syslog-ng アプリケーション、またはサーバー機がダウンした場合、クローズさ
れていないチャンクは、EOF のままでいます。このチャンクは壊れたとマーキン
グされます。ログデータは失われませんが、logcat の結果には表れません。
8.4
SSB にカスタムメッセージスペースを構築する
カスタムログスペースを構築するには、以下のいずれかの手順を行ってください。
バイナリログストアにログメッセージを保存する→8.4.1 新しいログストアを作成する
従来のプレーンテキスト形式でログを保存する→8.4.2 新たなテキスト形式ログスペース
を作成する
8.4.1 新しいログストアを作成する
Step：
Step 1.
Log > Spaces の順にクリックし、 をクリックして展開させます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
158
Step 2.
青地のタブ内の入力欄に、ログスペースの名称を入力します。容易に識別できる名
称を使用してください。ログスペースの名称は文字か数字で始める必要があります。
図表 8.2 新たなログストアの作成
Step 3.
Type 欄で、LogStore を選択します。
Step 4.
公開鍵を使用してログファイルを暗号化する場合は、Encryption certificate 欄の
をクリックします。ポップアップ ウィンドウが現れます。
ポップアップ ウィンドウの参照をクリックし、ログ暗号化で使用したい証明書を選択
して、Upload をクリックします。または、Certificate 欄に、証明書の中身をコピーして
貼り付け、Set をクリックします。
注記：
暗号化されたログメッセージを閲覧するには、証明書の秘密鍵も必要になります。
暗号化されたログストアを、SSBWeb インターフェイスにてオンラインでブラウズする
方法は、12.2 暗号化されたログスペースを閲覧 をご参照ください。暗号化されたロ
グファイルは、logcat コマンドラインツールでも閲覧できます。なお、logcat アプリケ
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
159
ーションは現在のところ、UNIX ベースのプラットフォーム上でのみ実行可能です。
2048-bit RSA キー（または、より強度の高いキー）の使用を推奨しています。
Step 5.
デフォルトでは、SSB は 10 分間隔で内部のタイムスタンプ認証機関に、タイムスタン
プを要請します。Timestamping frequency 欄にて、その間隔を調整できます。外部の
認証機関にタイムスタンプを要請する方法については、11.2 SSB におけるタイムスタ
ンプ設定 をご参照ください。
Step 6.
ログストア内のファイルに自動的にインデックスを付加したい場合、Indexer 欄の
Enabled を選択します。
ログストアを検索する際に、ヒット件数を制限するには、Maximum number of search
results フィールドに最大の検索結果ヒット数を入力してください。制限を無効にする
には、0 を入力してください。
デフォルトでは、インデックスが有効な場合、以下のフィールドがインデックスされま
す。Program, Host, Name/value pairs, Message.
デフォルトでは、インデクサ（インデックス付け）は次の区切り文字を使い、ログメッセ
ージを単語(トークン)単位に分割します。: & ~ ? ! [ ] = , ; ( ) ' " もし、ログメッセージ内
で左記の文字のいずれかが、語を分割する記号として機能しており、かつ、その記
号も含めて大きな塊で検索したい場合は、区切り文字から削除する必要があります。
例えば、ログメッセージ内に MAC アドレスが含まれるなら、:(コロン)を区切り文字か
ら削除します。そうしないと、MAC アドレスの各オクテットが個々のトークンとして分
割されて検索表示されてしまいます。
Step 7.
ログストア内のファイルはデフォルトで圧縮されています。圧縮したくない場合は、
Compressed logstore 欄のチェックを外します。
Step 8.
Filename template 欄にて、このログスペース内のファイルをどう細分化するかを決
定します。
1 日のログメッセージを単一のファイルに保存する場合、All messages in one file を選
択します。
ホストごと(IP アドレスないしはホスト名)でログファイルを分割する場合、Per host を
選択します。この設定は、syslog-ng の＄HOST マクロを使用することに相当します。
ロ グ を 送 信 してく る アプ リケ ー シ ョン 単位 でロ グ ファ イ ル を分割 する 場 合 、Per
application を選択します。この設定は、syslog-ng の$PROGRAM マクロを使用するこ
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
160
とに相当します。
ログを送信してくる各ホストの、さらにアプリケーション単位で分割したい場合は、Per
host and application を選択します。この設定は、syslog-ng の＄HOST-$PROGRAM
マクロを使用することに相当します。
ログファイルのネーミングに用いるカスタムテンプレートを指定する場合は、Custom
を選択します。Template 欄が現れるので、テンプレート名を入力します。ファイル名
テ ン プ レ ー ト の 使 用 に 関 し て 詳 細 は 、 The syslog-ng Premium Edition 5 LTS
Administrator Guide をご参照ください。
Step 9.
ログスペースの、リモートサーバーへのバックアップを自動化したい場合、バックアッ
プポリシーを作成し、Backup policy プルダウンから、ポリシーを選択します。バックア
ップポリシーの作成に関して詳細は、4.7.1 バックアップのポリシーを定義 をご参照
ください。
Step 10. ログスペースのアーカイブを日時で自動化したい場合、アーカイブポリシーを作成し、
Archive/Cleanup policy プルダウンで、ポリシーを選択します。アーカイブポリシー作
成に関して詳細は、4.8.1 アーカイブポリシーの作成 をご参照ください。
警告
アーカイブ/クリーンアップポリシーを必ず適用し、古いログデータを定期的に
削除して、ログスペースが満杯にならないように留意してください。
Step 11. ネットワーク上で、ログスペース内のログスペースを共有するには、共有ポリシーを
SSB で作成し、Sharing policy プルダウンから選択します。共有ポリシー作成に関して
詳細は、8.6 ネットワーク経由でログファイルにアクセスする をご参照ください。
Step 12. Warning size 欄で、ログスペースの容量を指定します。SSB は、ログスペースの大き
さが個々で指定した容量を超えると、アラートを発します。
警告
アラートを正しく受信できるよう、以下の設定が正しいことをご確認してください。
①. Basic Settings > Alerting & Monitoring にて、Logspace exceeded warning size
アラートが Enable であること
②. Basic Settings > Management にて、メール及び SNMP の設定が正しいこと
設定が正しくない場合、ログスペースがサイズ限界を越えてもアラートを受け取ることができま
せん。
アラート及びシステム監視に関して詳細は、4.6 SSB のシステム監視設定 をご参照下さい。
Step 13. デフォルトでは、search グループに含まれているメンバが、蓄積されたログメッセージ
をオンライン参照できます。Access control オプションで、どのユーザグループがログ
スペースにアクセス可能かを設定できます。詳細は、5.6 ユーザ権限とユーザグルー
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
161
プを管理する をご参照下さい。
をクリックし、変更を反映させます。
Step 14.
8.4.2 新たなテキスト形式ログスペースを作成する
Step：
Step 1.
Log > Spaces の順にクリックし、 をクリックして入力欄を展開させます。
Step 2.
ログスペースの名称を、青地のタブ部分の入力欄に入力します。容易に識別できる
名称を使用してください。
図表 8.3 新たなテキストログストアの作成
Step 3.
Type 欄で、Text file を選択します。
Step 4.
Message template 欄で、受信するログが用いるテンプレートを、以下のうちから選択
します。
Legacy： template("$DATE $HOST $MSGHDR$MSG\n")
ISO date： template("$ISODATE $HOST $MSGHDR$MSG\n")
Custom： Template 欄が現れるので、カスタムテンプレート名を入力します。テンプレ
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
162
ートの使用に関しては、The syslog-ng Premium Edition 5 LTS Administraotr Guide
をご参照下さい。
Step 5.
Memory buffer size 欄に、メモリに保持するメッセージの最大数を入力します。この設
定は、syslog-ng の log_fifo_size()パラメータに相当します。
Step 6.
Filename template 欄で、このログスペース内のログファイルをどう細分化するかを指
定します。
1 日のログメッセージを単一のファイルに保存する場合、All messages in one file
を選択します。
ホストごと(IP アドレスないしはホスト名)でログファイルを分割する場合、Per host
を選択します。この設定は、syslog-ng の＄HOST マクロを使用することに相当
します。
ログを送信してくるアプリケーション単位でログファイルを分割する場合、
Per application を選択します。この設定は、syslog-ng の$PROGRAM マクロ
を使用することに相当します。
ログを送信してくる各ホストの、さらにアプリケーション単位で分割したい場合は、
Per host and application を選択します。この設定は、syslog-ng の
＄HOST-$PROGRAM マクロを使用することに相当します。
ログファイルのネーミングに用いるカスタムテンプレートを指定する場合は、
Custom を選択します。Template 欄が現れるので、テンプレート名を入力します。
ファイル名テンプレートの使用に関して詳細は、The syslog-ng Premium Edition 5
LTS Administraotr Guide をご参照ください。
Step 7.
ログスペースの、リモートサーバーへのバックアップを自動化したい場合、バックアッ
プポリシーを作成し、Backup policy プルダウンから、ポリシーを選択します。バックア
ップポリシーの作成に関して詳細は、4.7.1 バックアップのポリシーを定義 をご参照
ください。
Step 8.
ログスペースのアーカイブを日次で自動化したい場合、アーカイブポリシーを作成し、
Archive/Cleanup policy プルダウンで、ポリシーを選択します。アーカイブポリシー作
成に関して詳細は、4.8.1 アーカイブポリシーの作成 をご参照ください。
警告
アーカイブ/クリーンアップポリシーを必ず適用し、古いログデータを定期的に
削除して、ログスペースが満杯にならないように留意してください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
163
Step 9.
ネットワーク上で、ログスペース内のログスペースを共有するには、共有
ポリシーを SSB で作成し、Sharing policy プルダウンから選択します。共有
ポリシー作成に関して詳細は、8.6 ネットワーク経由でログファイルにアクセスする を
ご参照ください。
Step 10. Warning size 欄で、ログスペースの容量を指定します。SSB は、ログスペースの大き
さが個々で指定した容量を超えると、アラートを発します。
警告
アラートを正しく受信できるよう、以下の設定が正しいことをご確認ください。
①. Basic Settings > Alerting & Monitoring にて、Logspace exceeded warning size
アラートが Enable であること
②. Basic Settings > Management にて、メール及び SNMP の設定が正しいこと
設定が正しくない場合、ログスペースがサイズ限界を越えてもアラートを受け取ることができま
せん。
アラート及びシステム監視に関して詳細は、4.6 SSB のシステム監視設定 をご参照下さい。
Step 11. デフォルトでは、search グループに含まれているメンバが、蓄積されたログメッセージ
をオンライン参照できます。Access control オプションで、どのユーザグループがログ
スペースにアクセス可能かを設定できます。詳細は、5.6 ユーザ権限とユーザグルー
プを管理する をご参照下さい。
Step 12.
8.5
をクリックし、変更を反映させます。
ログスペースの管理
ログスペースは、バックアップ及びアーカイブポリシーを適用させることにより、通常は自動的に
管理できます。4.7 データと設定のバックアップと 4.8 アーカイブとクリーンナップ で説明され
ており、これらを手動で起動することも可能です。 をクリックしてログスペースの詳細を展開す
れば、最上部にアクションボタンが現れます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
164
図表 8.4 ログスペースの管理
ヒント
ログスペースの現在のサイズは、Size 欄に表示されます。このデータを最新の
状態に更新するには、Get current size をクリックします。
Backup をクリックすると、手動でバックアップを起動できます。
Restore をクリックすると、バックアップサーバーからログファイルへのリストアが
起動します。
警告
リストアを行うと、ログスペース内の全ログが、リストアされるファイルに置き換
えられます。したがってバックアップより後に蓄積されたログスペース内のログ
は、リストアによって全て消失し、修復はできません。
Archive/Cleanup をクリックすると、アーカイブやクリーンアップが手動で起動できます。
警告
ログスペースに適用されたアーカイブポリシーが、クリーンアップのみの設定で
ある場合、Retention Time の設定値より古いログメッセージは全て消去されま
す。修復はできません。詳細は、4.8 アーカイブとクリーンナップ をご参照下さ
い。
Empty をクリックすると、ログスペース内の全てのログが消去されます。SSB に空き領
域をすばやく生み出したい場合や、ログスペースを消去したい場合に有益です。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
165
警告
Empty アクションは、ログスペース内の全てのログファイルを消去します。バッ
クアップあるいはアーカイブされていなかったログメッセージは全て失われ、修
復はできません。
同じようなアクションボタンが、Log > Spaces 画面の最上部に表示されています。これらのボタ
ンは、全てのログスペースに対し適用されるアクションで、動作条件は各々のログスペースの設
定値によります。例えば、Backup ALL をクリックすると、各ログスペースで指定されているバック
アップポリシーで、全てのログスペースのバックアップが実行される、という意味です。
8.6
ネットワーク経由でログファイルにアクセスする
必要に応じて、SSB のログファイルは、Samba(CIFS)あるいはネットワークファイルシステム
(NFS)を使用して、ネットワーク上の共有ドライブのようにアクセスすることが可能です。共有に
関する設定は、共有の種類、アクセス可能なクライアント(ホスト)、そしてユーザを指定するポリ
シーによって管理できます。SSB がドメインのメンバである場合も、共有が可能です。
SSB のユーザをローカルで管理している場合、SSB のアカウントを持つユーザは共有フ
ォルダにアクセス可能です。8.6.1 スタンドアロンモードでログファイルを共有する 手順
を実行してください。
LDAP にて SSB ユーザを管理している場合は、SSB をドメインのメンバに加える必要が
あります。8.6.2 ドメインモードでログファイルを共有する 手順を実行してください。
共有ログファイルにアクセスする方法については、8.6.3 共有ファイルにアクセスする を
ご参照下さい。
8.6.1 スタンドアロンモードでログファイルを共有する
Step：
Step 1.
Policies > Shares > SMB/CIFS options の順にクリックし、Standalone を選択します。
図表 8.5 ログスペースの共有
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
166
Step 2.
をクリックして、新たな共有ポリシー設定欄を展開させます。ポリシー名を決め、青
地タブ内の入力欄に入力します。
Step 3.
Type 欄から、ネットワーク共有の種類を選択します。
図表 8.6 共有ポリシーの作成
NFS(ネットワークファイルシステム)を使用する場合、NFS を選択します。
Samba をお使いになる場合は、CIFS を選択します。
Step 4.
Samba をお使いの場合は、共有領域にアクセス可能なユーザ及びホストを限定する
ことができます。その設定をしないと、SSB のアカウントを持つ全てのユーザが、全て
の共有領域内のログファイルにアクセス可能になります。
Step3 で CIFS を選択すると、新たに入力欄が展開します。その、Allowed group 欄に、
アクセスを許可するユーザグループ名を入力します。ローカルユーザグループに関
する詳細は、5.3 ローカルユーザグループを管理する をご参照ください。
Hostlist プルダウンで、アクセスを許可するホストリストを設定可能です。ホストリスト
の作成に関して詳細は、6.8 ホストリストポリシーを作成するを ご参照ください。
Step 5.
Step 6.
をクリックします。
ログスペースの詳細を表示させるには、Log > Spaces の順にクリックし、 をクリック
します。
Step 7.
Sharing policy プルダウンから、シェアポリシーを選択します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
167
図表 8.7 ログスペース共有ポリシーの設定
Step 8.
をクリックします。
8.6.2 ドメインモードでログファイルを共有する
Stetp：
Step 1.
Policies > Shares > SMB/CIFS options の順にクリックし、Domain mode を
選択します。
Step 2.
Domain 欄に、ドメイン名を入力します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
168
図表 8.8 ドメインへの参加
Step 3.
Full domain name 欄に、レルム(認証設定を特定する名前、
例： mydomain.example.com) の名前を入力します。
注記：
DNS の設定が正しいこと、すなわち、フルドメイン名が SSB にて解決できる
ことを確認してください。確認方法は、Basic Settings > Troubleshooting >
Ping の順にクリックし、Hostname 欄にフルドメイン名を入力して Ping host
をクリックします。
Step 4.
Join domain をクリックします。ポップアップ ウィンドウが現れます。
Step 5.
SSB は、ドメインに参加するのにアカウント情報が必要です。ユーザ名を Username
欄に、パスワードを Password 欄に入力します。
注記：
SSB には 150 文字以内のパスワードが使用できます。下記の特別文字も使用
できます。!"#$%&'()*+,-./:;<=>?@[\]^-`{|}
オプションとして、Domain controller 欄に、ドメインコントローラの名前を入力すること
ができます。ここを空欄にしておくと、SSB は自動的にドメインコントローラを探します。
注記：
DNS 設定が正しく、ドメインコントローラのホスト名が解決できることを確認して
ください。確認方法は、Basic Settings > Troubleshooting > Ping の順にクリック
し、Hostname 欄にドメインコントローラ名を入力して Ping hos をクリックします。
Step 6.
Step 7.
Join domain をクリックします。
をクリックし、新たな共有ポリシーの設定欄を展開させます。ポリシー名を、青地タ
ブ内の入力欄に入力します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
169
図表 8.9 共有ポリシーの作成
Step 8.
Type 欄から、ネットワーク共有の種類を選択します。
NFS(ネットワークファイルシステム)を使用する場合、NFS を選択します。
Samba をお使いになる場合は、CIFS を選択します。
Step 9.
Samba をお使いの場合は、共有領域にアクセス可能なユーザ及びホストを限定する
ことができます。その設定をしないと、SSB のアカウントを持つ全てのユーザが、全て
の共有領域内のログファイルにアクセス可能になります。
Allowed group 欄に、アクセスを許可する LDAP のグループ名を入力します。ユーザと
SSB が、同一のドメインメンバーであることが必要です。
Hostlist プルダウンで、アクセスを許可するホストリストを設定可能です。ホストリスト
の作成に関して詳細は、6.8 ホストリストポリシーを作成する をご参照ください。
Step 10.
をクリックします。
Step 11. ログスペースの詳細を表示させるには、Log > Spaces の順にクリックし、 をクリック
します。
Step 12. Sharing policy プルダウンから、ポリシーを選択します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
170
図表 8.10 ログスペースの共有ポリシー設定
Step 13.
を選択します。
8.6.3 共有ファイルにアクセスする
ここでは、共有ポリシーを用いてログファイルにアクセスする方法を説明します。共有領域内の
ログファイルに関して詳細は、8.6 ネットワーク経由でログファイルにアクセスする をご参照くだ
さい。
仮に、全てに単一の共有ポリシーが適用されているとしても、各ログスペースはあたかも、各々
独立した共有フォルダのようにアクセスできます。その共有フォルダの名称は、ログスペースの
名称と同一になります。共有フォルダ配下では、ログファイルは以下の形式のサブフォルダ下
に格納されます。 yyyy/mm-dd/ ファイル名は、ログスペース毎に設定されたファイル名テンプ
レートの記述内容によって決まります。ログストアの拡張子は、.store です。テキスト形式のログ
の拡張子は、.log になります。共有フォルダのルートディレクトリには、インデックスファイルのよ
うな、ログスペースを管理するために必要ないくつかのファイルが含まれていることにご注意く
ださい。これらのファイルは全て、リードオンリー(書込み禁止）です。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
171
注記：
ログスペースの共有に NFS をご使用になる場合、共有フォルダの名称は以下
のようになります。/exports/{logspace_id}/...下記の例は、共有ログスペース
を、NFS を用いて Linux プラットフォームでマウントする方法を示しています。
例 5.1 ：NFS を用いて Linux にログスペースをマウントする方法
mount -t nfs {ssb-ip} : /exports/{logspace_id} /mnt/testmount
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
172
9
SSB からログメッセージを転送する
SSB は、リモートの宛先に向けてログメッセージを転送することができます。転送先には、リモー
トサーバー上の SQL データベース、同じく、ログ解析アプリケーションなどが設定可能です。
リモートサーバー上の SQL データベースに転送するには、9.1 SQL データベースにログ
メッセージを転送する に記載されている手順を実行してください。現在、Oracle、
MSSQL、MySQL、PostgreSQL をサポートしています。
リモートサーバーに転送するには、9.3 リモートサーバーにログメッセージを転送する に
記載されている手順を実行してください。
9.1
SQL データベースにログメッセージを転送する
目的：
ここでは、ログメッセージを SSB からリモートの SQL サーバーに転送する手順を説明します。
Step：
Step 1.
リモートのログ転送先を新たに作成する場合は、Log > Destination の順にクリックし、
をクリックして入力欄を展開させます
Step 2.
青地タブ部分の入力欄に、転送先の名前を入力します。
注記：
ここでつけられる名前は、SSB によって生成されたデータベーステーブルでも
用いられます。互換性を保つために、半角の数字、アルファベット（小文字）、そ
してアンダーバー(_)のみをお使いになれます。
Step 3.
Type 欄で Database server を選択します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
173
図表 9.1 転送先にデータベースサーバーを指定する
Step 4.
Database type 欄にて、お使いになるデータベースの種類を選択します。
Step 5.
Address 欄に、データベースサーバーの IP アドレスまたはホスト名を入力します。ま
た、DB サーバーがデフォルト以外のポート番号を使用している場合は、Port 欄にそ
の番号を入力します。
Step 6.
Username 欄に、データベースにアクセスする際のユーザ名を、Password 欄に、同じ
くパスワードを入力します。なお、ここで指定するユーザは、新しいテーブルをデータ
ベースに構築できる権限を持っていることが必要です。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
174
注記：
SSB には 150 文字以内のパスワードが使用できます。下記の特別文字も使用
できます。!"#$%&'()*+,-./:;<=>?@[\]^-`{|}
Step 7.
Database name 欄に、ログメッセージを蓄積するデータベースの名前を入力します。
Step 8.
(オプションのステップ) Flush lines フィールドに SSB が一回に送信する前に待機する
ログメッセージライン数を入力してください。この数値を高くすると、完全に満たされた
フレームがネットワークに送られるので、スループットが増加します。しかし、同時に、
メッセージレイテンシーも増加します。
注記
Flush lines は、Output memory buffer 値に関係しています。（Output memory
buffer 値を設定するためには、Log > Destinations に移動してください。）Output
memory buffer の値は、Flush lines の値と等しいか、大きい必要があります。
Step 9.
日次または月次でテーブルを新しくするよう選択できます。また、カスタムテーブルを
作成することも可能です。その場合、Table rotation 欄で、テーブルネーミングテンプ
レートを指定します。
Step 10. データベースにどのフィールドを挿入するかを選択します。定義済みのテンプレート、
または Custom column を選択して、カスタムテンプレートを作成することもできます。
利用可能なテンプレートに関しては、9.2 SSB の SQL テンプレートをご参照ください。
Step 11. SSB は、データベース内の古いデータやテーブルを自動的に削除することができま
す。デフォルトでは、1 ヶ月以上古いメッセージが削除されます。必要に応じて、
Retention time 欄で変更できます。
Step 12. データベースに蓄積されたログは、SSB の search インターフェイスからアクセスする
ことができます。Access control > Group 欄に、許可するユーザを入力します。許可
するユーザグループを追加する場合は、 をクリックして入力欄を増やします。
Step 13. ほとんどのログメッセージのタイムスタンプは、秒単位までの正確性しか担保されて
いません。SSB は、もっと細かい単位のタイムスタンプ付加が可能です。Timestamp
fractions of a second 欄で、秒の部分に何桁(=何分の 1 秒)までを含めるか指定しま
す。この設定は、syslog-ng の frac_digits()パラメータに相当します。
Step 14. リモート DB サーバーと SSB が稼動しているマシンが、別個の標準時間帯地域に存
在する場合で、レガシーメッセージテンプレートをお使いの場合、Timezone プルダウ
ンで、サーバーの標準時間帯を選択します。これは、レガシーメッセージテンプレート
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
175
には標準時間帯地域の情報が含まれていないためです。
Step 15. Output disk buffer 欄に、ディスクバッファサイズを入力します。リモートサーバーにア
クセス不能になった場合、SSB はハードディスクにログを保持し、復旧後に送信を再
開します。この設定は、syslog-ng の log_disk_fifo_size()パラメータに相当します。
Step 16. リモートサーバーが、ログメッセージの受入をする処理速度が低下している場合に、
SSB はデフォルトで 10000 件までをメモリに保持します。この値を変更するには、
Output memory buffer 欄にて行います。この設定は、syslog-ng の log_fifo_size()パラ
メータに相当します。
Step 17.
をクリックします。
Step 18. ここで設定したリモートサーバーにログメッセージの転送を開始するには、ログパス
にこのリモートサーバーを含める必要があります。詳細は 10 ログパスを管理する
をご参照ください。
Step 19. Test connection をクリックすると、データベースへアクセスできるか接続をテストでき
ます。
9.2
SSB の SQL テンプレート
以下のセクションでは、SSB において使用可能な SQL テンプレートについて説明します。
Legacy
Full
Custom
9.2.1 Legacy テンプレート
Legacy テンプレートでは、ログメッセージを ssb_sql_messages_$(R_YEAR)_$(R_MONTH)テーブル
に蓄積します。以下のフィールドが生成されます。
insert_time：SSB がログメッセージを受信した時刻。UNIXTime 形式です。
rule_id:：メッセージに合致したパターンデータベースの ID です。
＿row_id：行の識別用 ID です。
date_time：ログメッセージが送信された時刻。YYYY-MM-DD hh:mm:ss 形式です。
facility：メッセージを送信したファシリティです。
priority：メッセージの優先度レベルです。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
176
host：ログメッセージが生成されたホストの IP アドレスまたはホスト名です。
program：ログメッセージを生成したアプリケーションの名前です。
pid：ログメッセージを生成したプロセスの ID 番号です。(ログにこの値が含まれていない
場合、自動で 0 がセットされます)
message：ログメッセージのテキストです。
insert_time、rule_id、date_time、facility、host、program の各フィールドは、インデックスが
付加されます。
9.2.2 Full テンプレート
Full テンプレートでは、ログメッセージを ssb_sql_messages_$(R_YEAR)_$(R_MONTH)テーブル
に蓄積します。以下のフィールドが生成されます。
insert_time：SSB がログメッセージを受信した時刻。UNIXTime 形式です。
rule_id：メッセージに合致したパターンデータベースの ID です。
＿row_id：行の識別用 ID です。
date_time：ログメッセージが送信された時刻。YYYY-MM-DD hh:mm:ss 形式です。
facility：メッセージを送信したファシリティです。
priority：メッセージの優先度レベルです。
sourceip：ログを送信したホストの IP アドレスです。
host：ログメッセージが生成されたホストの IP アドレスまたはホスト名です。
program：ログメッセージを生成したアプリケーションの名前です。
pid：ログメッセージを生成したプロセスの ID 番号です。(ログにこの値が含まれていない
場合、
自動で 0 がセットされます)
message：ログメッセージ部のテキストです。
insert_time、rule_id、date_time、facility、host、source_ip、program の各フィールドは、インデックス
が付加されます。
9.2.3 Custom テンプレート
Custom テンプレートを使用することにより、テーブルのフィールドを特定することが可能になりま
す。フィールド名を指定し、種類を選択し、マクロを用いてコンテンツを指定します。マクロの使
用に関して詳細は、The syslog-ng Premium Edition 5 LTS Administrator Guide をご参照くださ
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
177
い。フィールドにインデックスを付加したい場合は、Indexed オプションにチェックを入れます。
9.3
リモートサーバーにログメッセージを転送する
目的：
SSB からリモートサーバーへのログメッセージ転送の手順を説明します。
Step：
Step 1.
Log > Destination の順にクリックし、 をクリックして入力欄を展開させます。
Step 2.
Remote host を選択します。
図表 9.2 サーバーへの転送設定
Step 3.
Address 欄に、ログ転送先リモートサーバーの IP アドレスまたはホスト名を入力しま
す。Port 欄に、リモートサーバーがログを受け入れるポートの番号を指定します。
Step 4.
Transport 欄で、ログメッセージ転送に用いるプロトコルを選択します。UDP、TCP、そ
して暗号化された TLS プロトコルのいずれかを選択できます。UDP または TLS を選
択すると、さらにパラメータを入力するための欄が現れます。UDP を選択した場合、
転送先リモートサーバーは、受け入れたログメッセージはもともと SSB で生成された
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
178
ものとみなします。最初のログ送信元を保持するためには、Spoof source address オ
プションにチェックを入れます。
TLS を選択した場合、リモートサーバーの ID を確認する方法を選択する必要があり
ます。以下から選択します。
None：証明書提示をリモートホストにリクエストしない。しかし、リモートホストから証
明書が提示された場合は、全て受け入れる。
Optional Trusted：リモートサーバーが証明書を提示したら、SSB はそれが有効期限
内か、また Common Name に、ホストの IP アドレスあるいはドメイン名が含まれてい
るかをチェックする。このチェックで引っかかると、SSB は接続を拒否する。ただし、リ
モートホストが証明書を提示しない場合は、接続を許可する。
Optional untrusted：リモートホストは必ず証明書を提示する必要があります。SSB は、
それがどんな証明書であっても受付けて接続します。
Required trusted：リモートホストの証明書を検査します。認証局によって署名された
証明書のみ受付けます。認証局による証明書に関して詳細は、6.7.2 外部認証によ
る証明書をアップロードするをご参照ください。証明書の Common Name に、ホストの
ドメイン名か IP アドレスのいずれかが含まれている必要があります。
Request untrusted：SSB は、リモートホストに証明書提示をリクエストし、証明書が提
示されない場合、接続を拒否します。しかしながら、以下の場合は接続します。
①証明書が無効（有効期限切れ）の場合 ②Common Name 内に、ホストのドメイン
名または IP アドレスが含まれていない場合。
注記
リモートサーバーの説明書を参照し、サポートされているプロトコルをご確認く
ださい。
UDP は非常に信頼性の低いプロトコルです。何の警告も無しに、大量のログメ
ッセージが喪失する危険性があります。可能な限り、TCP か TLS をご利用くだ
さい。
Step 5.
Syslog protocl 欄から、シスログのプロトコルを選択します。
従来の BSD シスログプロトコル(RFC3164 準拠)をお使いになる場合、Legacy を選択
します。次に、message template 欄で、お使いになるメッセージテンプレートを選択し
ます。RFC3164 に定義されているフォーマットに従う場合は Legacy を選択します。タ
イムゾーン情報を含む ISO8061 に準拠したタイムスタンプで元のタイムスタンプを置
き換える場合は ISO date を選択します。また、マクロを使用してメッセージのフォーマ
ットをカスタマイズする場合は Custom message part only、ヘッダーを含めてメッセー
ジを全て再フォーマットする場合は Custom on-wire message を選択します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
179
マクロの使用に関する詳細は、The syslog-ng Premium Edition 5 LTS Administrator
Guide をご参照ください。特別の要件がないようであれば、ISO date テンプレートを選
択してください。
IETF 形式シスログプロトコルをお使いになりたい場合は、リモートサーバーのアプリ
ケーションに関する説明書をご確認ください。現状、多くの装置･アプリケーションは、
まだ従来の BSD プロトコルしかサポートしていません。必要に応じて、マクロを用い
てメッセージコンテンツをカスタマイズすることが可能です。なお、IETF シスログプロト
コルにおいては、ヘッダーはカスタマイズできないことにご注意ください。マクロの使
用に関する詳細は、The syslog-ng Premium Edition 5 LTS Administrator Guide をご
参照ください。
Step 6.
SSB がリモートサーバーに対し、同一メッセージを複数回送信する可能性がある場
合、Last message repeated n times. というメッセージを代わりに 1 回だけ送信するこ
とができます。同一メッセージの出現を待つ(代わりのメッセージを送出するまでの)
時間は、Suppress timeout 欄に入力します。この設定は、syslog-ng の suppress()パ
ラメータに相当します。
Step 7.
秒あたりに転送するログメッセージの件数に上限を設けたい場合は、Message
throttle 欄にその値を入力します。このオプションは、ログの喪失を防ぐために、ディ
スクバッファ機能と共に用いる場合のみ機能します。この値を 0 または 0 以下にする
と、｢上限無し｣になります。この設定は、syslog-ng の throttle()パラメータに相当しま
す。
Step 8.
ほとんどのログメッセージのタイムスタンプは、秒単位までの正確性しか担保されて
いません。SSB は、もっと細かい単位のタイムスタンプ付加が可能です。Timestamp
fractions of a second 欄で、秒の部分に何桁(=何分の 1 秒)までを含めるか指定しま
す。この設定は、syslog-ng の frac_digits()パラメータに相当します。
Step 9.
リモート DB サーバーと SSB が稼動しているマシンが、別の標準時間帯地域にあり、
レガシーメッセージテンプレートを使用している場合、Timezone プルダウンで、サー
バーの標準時間帯を選択します。これは、レガシーメッセージテンプレートには標準
時間帯地域の情報が含まれていないためです。
Step 10. Output disk buffer 欄に、ログメッセージを一時保持するディスクバッファのサイズを
設定します。リモートサーバーにアクセス不能となった場合、SSB はハードディスク上
にログメッセージを保持し、復旧後に転送を再開します。この設定は、syslog-ng の
log_disk_fifo_size()パラメータに相当します。
Step 11. リモートサーバーで、ログメッセージの受信処理速度が低下している場合、SSB はデ
フォルトで 10000 件までをメモリに保持します。この値を変更するには、Output
memory buffer 欄にて行います。この設定は、syslog-ng の log_fifo_size()パラメータに
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
180
相当します。
Step 12.
をクリックします。
Step 13. リモートサーバーへログ転送を開始するには、ログバスに新たな転送先を加える必
要があります。詳細は、10 ログパスを管理する をご参照ください。
9.4
SNMP サーバーにログメッセージを転送する
目的：
ここでは、SSB から SNMP サーバーにログメッセージを転送する手順を説明します。
Step：
Step 1.
Log > Destination の順にクリックし、 をクリックして入力欄を展開させます。
Step 2.
Type 欄から、SNMP destination を選択します。
Step 3.
Address 欄に、転送先 SNMP サーバーの IP アドレスまたはホスト名を入力します。
Port 欄に、SNMP トラップを受け入れているポート番号を入力します。
Step 4.
SNMP trap settings 欄にて、SNMP プロトコルのバージョンを選択します。
SNMP v2c をお使いになる場合、SNMP v2c を選択します。Community 欄に、
コミュニティ名を入力します。デフォルトは public です。
SNMP v3c をお使いになる場合、SNMP v3c を選択します。パラメータ入力欄が
現れます。
• username：SNMP トラップを転送するのに必要なユーザ名
• Engine ID：同じくエンジン ID
• Authentication method：認証の方法を選択します。(MD5 または SHA1)いずれを選択
しても、Authentication password 欄が現れるので、認証パスワードを入力します。
• Encryption method：暗号化の方法を選択します。(Disabled または DES)DES を選択し
た場合、Encryption password 欄が現れるので、暗号化パスワードを入力します。
注記：
SSB には 150 文字以内のパスワードが使用できます。下記の特殊文字も使用
できます。!"#$%&'()*+,-./:;<=>?@[\]^-`{|}
Step 5.
ほとんどのログメッセージのタイムスタンプは、秒単位までの正確性しか担保されて
いません。SSB は、もっと細かい単位のタイムスタンプ付加が可能です。Timestamp
fractions of a second 欄で、秒の部分に何桁(=何分の 1 秒)までを含めるか指定しま
す。この設定は、syslog-ng の frac_digits()パラメータに相当します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
181
Step 6.
リモート DB サーバーと SSB が稼動しているマシンが、別個の標準時間帯地域にあ
り、レガシーメッセージテンプレートを使用している場合、Timezone プルダウンで、サ
ーバーの標準時間帯を選択します。これは、レガシーメッセージテンプレートには標
準時間帯地域の情報が含まれていないためです。
Step 7.
Output disk buffer 欄にて、ログメッセージを一時保持するディスクバッファのサイズ
を設定します。リモートサーバーにアクセス不能となった場合、SSB はハードディスク
上にログメッセージを保持し、復旧後に転送を再開します。この設定は、syslog-ng の
log_disk_fifo_size()パラメータに相当します。
Step 8.
リモートサーバーで、ログメッセージの受信処理速度が低下している場合、SSB はデ
フォルトで 10000 件までをメモリに保持します。この値を変更するには、Output
memory buffer 欄にて行います。この設定は、syslog-ng の log_fifo_size()パラメータに
相当します。
Step 9.
をクリックします。
Step 10. リモートサーバーへログ転送を開始するには、ログバスに新たな転送先を加える必
要があります。詳細は、10 ログパスを管理する をご参照ください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
182
10 ログパスを管理する
ここでは、ログパスの生成及び管理について説明します。
デフォルトのログパス一覧に関しては、10.1 SSB のデフォルトのログパス
新たなログパスを作成する手順は、10.2 新しいログパスを作成する
条件に合致したログメッセージのみを送信する設定手順は、10.3 メッセージのフィルタリ
ング
を、それぞれご参照ください。
10.1 SSB のデフォルトのログパス
Log > Paths の順にクリックします。デフォルトで、2 つのログパスが既に設定されています。
図表 10.1 SSB のデフォルトのログパス
最初のログパスは、SSB のローカルメッセージを収集します。Web インターフェイス、
ビルトインの syslog-ng サーバー、そして他の内部コンポーネントにおいて生成された
ログを、local ログスペースに送信します。
二つ目は、デフォルトのシスログソース(詳細は 7.1 SSB のデフォルトのメッセージソース
をご参照ください)から、あるいは SNMP(詳細は 7.2 SNMP メッセージの受信 をご参照く
ださい)経由で送信されるログパスです。これらのログメッセージは、center ログスペース
に蓄積されます。
注記
この 2 つのデフォルトログパスには、Final のオプションにチェックが入っていま
す。これは、条件に合致したら、それより下に定義されているログパスには当
該ログメッセージが渡らない、という意味です。デフォルトのソースからログを
受け取る新たなログパスを作成する場合、順番を調整するか(より上に定義さ
れたパスから検査されます)、Final のオプションを外してください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
183
10.2 新しいログパスを作成する
目的：
新たなログパスを作成する方法を説明します。
Step：
Step 1.
Log > Paths の順にクリックし、 をクリックします。画面に新たなログパスが追加され
ます。
Step 2.
Source フィールドのプルダウンで、このログパスで処理すべきログのソースを選択しま
す。このログパスにさらにソースを追加する場合は、Source フィールドの をクリックして
プルダウンを追加し、このステップを繰り返します。
図表 10.2 新たなログパスの作成
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
184
Remote ソースは、ネットワーク経由で到達したログを受信し、ビルトインソースは、SSB
にて生成されたログメッセージをさします。SNMP ソース(詳細は、7.2 SNMP メッセージの
受信をご参照ください)も、ビルトインのソースに組込まれています。
ヒント
全てのソースの全てのログメッセージを処理対象にするには、source フィール
ドの選択欄を削除して、all にします。これは、syslog-ng の catchall フラグ
に相当します。
Step 3.
Destination フィールドのプルダウンで、このログパスにおけるログメッセージ転送先を選
択します。転送先をさらに追加する場合は、 をクリックしてプルダウンを増やし、このス
テップを繰り返します。
注記
Remote デスティネーションは、リモートサーバーまたはデータベースにログを
転送するオプションで、Log > Destination 画面にて設定します。(詳細は、9
SSB からログメッセージを転送するをご参照ください)
Local デスティネーションは、SSB ローカルの環境にログを蓄積します。Log >
Space 画面にて設定します。(詳細は、8 SSB にログメッセージを蓄積するをご
参照ください)
このログパスにおいて受信するログメッセージを蓄積しない場合は、Destination フィー
ルドのプルダウンを none-omitted のままにしておきます。
警告
デスティネーションを none に設定すると、このログパスで受信した
ログメッセージは全て捨てられます。これは、ログを警告無しに削除
する唯一のオプションです。
Step 4.
このログパスにおいて処理されたログメッセージを、他のログパスで処理させないように
するには、Final オプションにチェックを入れます。
ログパス一覧の順序は重要です。上位にあるログパスから優先的に処理される為です。
Final にチェックが入っていると、そのログパスで処理されたログメッセージは下位のログ
パスに渡りません。ログパスの並び順を調整するには、 ボタンをクリックします。
Step 5.
フローコントロールを有効にするには、Flow フィールドの Flow control オプションにチェッ
クを入れます。フローコントロールの機能に関して詳細は、2.3 受信メッセージと送信メッ
セージをフローコントロールで管理するをご参照ください。
Step 6.
このログパスで受信したログメッセージの一部のみを転送したい場合、フィルターを設定
します。Filter フィールドの をクリックして、必要に応じてフィルター条件を設定します。
フィルター条件を追加するには、 をクリックしてプルダウンを増やします。ログパス内に
設定した全てのフィルターにマッチしたログメッセージのみが、指定された転送先に転送
されます。設定可能なフィルターについては、10.3 メッセージのフィルタリングをご参照く
ださい。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
185
図表 10.3 ログメッセージのフィルタリング
Step 7.
をクリックします。その後、設定したログパスが、ログメッセージの収集を開始
します。
ヒント
ログパスをすぐ無効にしたい場合、Enable オプションのチェックを外します。
10.3 メッセージのフィルタリング
ここでは、ログパスにおいてフィルタリングをどのように用いるかを説明します。全てのフィルタリン
グ条件で、マッチ(例：priority is) またはアンマッチ(例：priority is not)を適用できます。以下のフィ
ルタリング項目を使用できます。
facility：特定のファシリティ(例：kernel)から送信されたログメッセージのみを抽出します
host：特定のホストから送信されたログメッセージのみを抽出します。ホスト名か IP
アドレスを入力するか、正規表現で指定します。
message：メッセージのテキスト部分(ヘッダを除く)に対し、特定のキーワード、または、
正規表現を指定して抽出します。
priority：特定の優先度のログメッセージのみ抽出します。
program：特定のアプリケーションから送信されたログメッセージのみ抽出します。
アプリケーション名または正規表現で指定します。
sender：SSB にログメッセージを送信しているホストのアドレスで抽出します。
注記
全てのクライアントが SSB に直接、ログメッセージを送信している場合、"sender"と"host"
のいずれのフィルターも同じように機能します。しかし、間にリレーサーバーが入っている
場合は、"host"フィルターはクライアント(ログ発生元)のアドレスに適用され、"sender"
フィルターは、リレーサーバーのアドレスに適用されます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
186
複数のフィルタリング条件が設定されている場合、全ての条件にマッチしたログメッセージのみ、
指定された転送先に送信されます。(つまり、ログパス内のフィルタリングは論理積をとる、とい
う意味になります)
図表 10.4 カスタムフィルターを使う
ログパスに、より複雑なフィルタリング条件を設定したい場合は、 をクリックして、展開された
入力欄にカスタムフィルタリングの条件を入力します。ここに入力された値は、ｓｙｓｌｏｇ-ng の
filter()パラメータにペーストされます。
rewrite を使用しメッセージを修正する
10.3.1
目的：
syslog-ng アプリケーションは rewrite ルールを使用し、メッセージの部分を書き換えることができま
す。ほぼ全てのメッセージのパーツが書き換え可能です。ルールは、key-value ペアフォーマット
を使用します。
Step：
Step 1.
Log > Paths の順にクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
187
Step 2.
rewrite ルールを使用したい path(s)を選択します。
Step 3.
Rewrites セクションにて
ボタンをクリックし、新規 rewrite ルールを追加します。
Rewrite ルールはフィルタリング前、あるいはフィルタリング後に適用されます。フィル
タリングと rewrite のシーケンスはログパスにそれがどのように指定されているかに
依存します。処理シーケンスは以下の通りです。
1.
rewrite ルールの順番に沿って、“before filtering”rewrite ルールを使用すること
によってメッセージパートを書き換えます。
2.
メッセージをフィルターします。
3.
rewrite ルールの順番に沿って、“after filtering”rewrite ルールを使用すること
によってメッセージパートを書き換えます。
4.
メッセージを destination に送信します。
図表 10.5 rewrite ルールを使用したメッセージの修正
Step 4.
rewrite のため、Message part フィールドにメッセージのパートを入力します。例：
MESSAGE; HOST;.SDATA.meta.custom. もし、指定したフィールドが存在しなかった
場合、それは自動的に作成され Replacement value フィールドに設定されます。
Step 5.
書き換え後の Replacement value フィールドにメッセージパートの値を入力してくださ
い。マクロを使用するには、$からはじめ括弧でマクロ名を囲ってください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
188
例：${MSG};${.SDATA.meta.custom}
注記
置換する値はメッセージパートの古い値を完全に置き換えます。
注記
ハードマクロは、ログメッセージから直接引き出されたデータを含みます。rewriteルールに
おいてハードマクロの値を変更することは不可能です。ハードマクロのリストについては、
syslog-ng Premium Edition 5 LTS Administrator Guide. のHard vs. soft macros、セクションを参
照してください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
189
11 syslog-ng のオプションを設定する
SSB 内部で稼動している syslog-ng サーバーには、設定変更可能な以下のオプションがあります。
syslog-ng 全般的な設定に関して詳細は、11.1 syslog-ng の全般的な設定
タイムスタンプ関連のオプションに関して詳細は、11.2 SSB におけるタイムスタンプ設定
TLS 暗号化によるログメッセージ送受信の際の証明書管理に関する詳細は、
11.4 TLS 暗号化ログ送受信に用いる証明書の設定
ログメッセージのドメイン名解決に関する詳細は、11.3 SSB における名前解決
を、それぞれご参照ください。
11.1 syslog-ng の全般的な設定
SSB 内部で稼動している syslog-ng サーバーの全般的な設定項目は、Log > Options の順に
クリックして表示させます。以下のオプションを設定できます。(名前解決に関するオプションは、
11.3 SSB における名前解決にて説明します)
図表 11.1 syslog-ng のオプション設定
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
190
Maximum logstore chunk time：(秒)syslog-ng は、ここの設定値の間に新たなログメッセ
ージがログスペースに到着しなかった場合、チャンクをクローズします。なお、"Idle time
before destination is closed" オプションの設定値に達した場合、全ファイルがクローズ
されます。
この設定項目は、syslog-ng の chunk_time()パラメータに相当します。
Message fetched in a single poll：ポーリング時のループ 1 回ごとに、ソースから取込まれ
るログメッセージの件数に上限値を設定します。この設定値が大きいと、フローコントロ
ールがログの新たな取り込みを中断する以前に、ログ転送先のキューがあふれてしまう
可能性があります。この設定項目は、syslog-ng の log_fetch_limit()パラメータに相当しま
す。
Initial window size：フローコントロールに用いられる、メッセージウインドウの初期サイズ
を設定します。この項目は、syslog-ng の log_iw_size()パラメータに相当します。
Message size：受信するログメッセージ長の上限をバイト単位で指定します。この項目は、
syslog-ng の log_msg_size()パラメータに相当します。最大値は 1000000 (1MB)です。
Wait time between polls：ログのソースに、新たなメッセージが到着していないかポーリン
グをするまでの待ち時間を、ミリ秒で指定します。この項目は、syslog-ng の time_sleep()
パラメータに相当します。
Idle time before destination is closed：アイドル状態のログ転送先がクローズされるまで
の時間を秒で指定します。この項目は、syslog-ng の time_reap()パラメータに相当しま
す。
11.2 SSB におけるタイムスタンプ設定
SSB におけるタイムスタンプの方法を設定するには、Log > Options の順にクリックします。
以下のオプションが設定可能です。
Timestamp server：暗号化されたログスペースに用いられるタイムスタンプ方法
を指定します。
• Local：SSB 内蔵のタイムスタンプサーバーを使用する場合
• Remote：外部のタイムスタンプサーバーを使用する場合
→Server URL 欄が現れるので、タイムスタンプサーバーの IP アドレスを入力します。
なお、現在のところプレーンの HTTP サーバーのみサポートしています。パスワード保
護、または HTTPS サーバーはサポートしていません。
警告
SSB では、現在 Internet X.509 Public Key Infrastructure Time Stamp
Protocol(TSP - RFC3161 準拠)のみをサポートしています。
Timestamp policy OID：タイムスタンプサーバーに、そのポリシーが設定されている場合
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
191
は、その OID を入力します。SSB は、TSA(タイムスタンプ認証局)にタイムスタンプリクエ
ストを送信する際、その ID 情報を含めます。
Cipher：ログストアを暗号化するための方法を、以下のメソッドからプルダウンで
選択します。
aes-128-cbc, aes-128-cfb, aes-128-cfb1, aes-128-cfb8, aes-128-ecb, aes-128-ofb,
aes-192-cbc, aes-192-cfb, aes-192-cfb1, aes-192-cfb8, aes-192-ecb, aes-192-ofb,
aes-256-cbc, aes-256-cfb, aes-256-cfb1, aes-256-cfb8, aes-256-ecb, aes-256-ofb,
aes128 , aes192 , aes256, bf , bf-cbc , bf-cfb, bf-ecb , bf-ofb , blowfish, cast ,cast-cbc ,
cast5-cbc , cast5-cfb, cast5-ecb, cast5-ofb , des, des-cbc, des-cfb ,des-cfb1 ,
des-cfb8 , des-ecb , des-ede, des-ede-cbc, des-ede-cfb , des-ede-ofb,des-ede3 ,
des-ede3-cbc, des-ede3-cfb, des-ede3-ofb, des-ofb , des3 , desx ,desx-cbc, rc2,
rc2-40-cbc , rc2-64-cbc, rc2-cbc, rc2-cfb, rc2-ecb , rc2-ofb, rc4, rc4-40.
デフォルトでは、aes-128-cbc メソッドを使用します。
Digest：ダイジェストの方法を、以下からプルダウンで選択します。
MD2, MD4, MD5, SHA-0 (SHA), SHA-1, RIPEMD-160, SHA-224, SHA-256,
SHA-384,SHA-512.
デフォルトでは、SHA-1 を使用します。
警告
ダイジェストのハッシュ関数の大きさは、暗号化方法の鍵サイズに
等しいか、それより大きくなければなりません。例えば、aes-256cbc を用い
る場合、ダイジェストハッシュは少なくとも SHA-256 である必要があります。
注記
タイムスタンプリクエストは、独立したプロセスで処理されます。ログ
メッセージの処理が、タイムスタンプサーバーの処理遅延またはアクセス
障害に影響されることはありません。
11.3 SSB における名前解決
SSB は、クライアントのホスト名を解決し、ログメッセージにそれを含ませることができます。しか
し、DNS サーバーにアクセス障害が発生したり、処理が極端に遅くなったりした場合に、SSB 全
体の処理に大きな影響がでます。SSB は名前解決ができたかどうかの情報を自動でキャッシュ
します。もし負荷が高い状況下で問題が発生するようであれば、名前解決機能をオフにするこ
とを推奨します。名前解決が必須の場合は、以下を考慮してください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
192
図表 11.2 DNS オプションの設定
Log > Options > Options の順にクリックします。
クライアントの IP アドレスがめったに変更されない場合は、DNS Cache expiry と
Failed DNS chache expiry を大きな値にします。デフォルトでは、それぞれ、1 時間、
1 分となっています。
ローカルで(静的な)ホスト名解決を検討します。頻繁にログを送信してくるホストの
解決を、DNS サーバーに依存することなくローカルで行えます。IP アドレス－ホスト名の
ペアを、ファイルとしてローカル環境にあらかじめ設定しておきます。syslog-ng が、
ログメッセージ上の該当する IP アドレスをホスト名に置換えます。ローカル環境での
解決を設定するには、Log > Options > Name resolving の順にクリックし、展開された
入力欄 Persistent hostname list 欄に、ホスト名－IP アドレスのペアを入力します（例
192.168.1.1 myhost.example.com）。その後、Log > Sources の順にクリックし、Use DNS
欄のオプションで、Only from persistent configuration を選択します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
193
図表 11.3 静的な名前解決の設定
11.4 TLS 暗号化ログ送受信に用いる証明書の設定
目的：
カスタム証明書、または認証局による証明書を暗号化されたログ送受信に用いるための手順を
説明します。
注記
TLS 通信における証明書をアップロードしていない(=TLS 証明書及び TLS
秘密鍵オプションが設定されていない状態)場合、SSB は Web インターフェイ
ス用に設定された証明書、または認証局証明書を適用します。(この証明書
は、Basic Settings > Management > SSL certificate にて設定されます)
2048-bit RSA（または、より強力）の使用を推奨します。
Step：
Step 1. まず、PKI(公開鍵基盤)にて、証明書を作成し署名します。そして、
Log > Options > TLS settings の順にクリックします。
Step 2. TLS certificate 欄の
をクリックして、証明書をアップロードします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
194
図表 11.4 syslog-ng の TLS 設定
ファイルからアップロードする証明書を選択する場合は、開いたポップアップ ウィンドウ内の
参照をクリックし、ファイルを選択します。その後、Upload をクリックします。
あるいは、Copy and paste certificate セクションの Key 欄に、証明書を貼り付け、Upload
をクリックすることもできます。
Step 3. TLS private key 欄の
をクリックし、証明書に紐づいている秘密鍵をアップロードしま
す。
Step 4. ログを送信するホストのアイデンティティを、認証局による証明書で検査する場合は、
Certificate Authorities 欄の をクリックし、
をクリックします。
ポップアップ画面が開きます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
195
図表 11.5 証明書のアップロード
ファイルから証明書をアップロードする場合は、参照をクリックし、ファイルを選択します。その後、
Upload をクリックします。
あるいは、Copy-paste certificate セクションの Certificate 欄に、証明書を貼り付け、Upload をク
リックすることもできます。
認証局による証明書をさらに追加したい場合、このステップを繰り返します。
Step 5. 指定した認証局が CRL(失効したデジタル証明書のリスト)を発行している場合、その URL
を CRL URL 欄に入力します。それにより、SSB は CRL を定期的にダウンロードし、リスト
に存在する証明書の使用を拒否します
注記
.pem フォーマットの CRL のみ許可されます。PKCS7 フォーマット（.ｃｒｌ）の
CRL は許可されません。
Step 6. 認証局により署名された特定の証明書のみを使用しているホストからのみ、接続を許可
したい場合、Trusted distinguished names 欄の をクリックして、Distinguished name 欄
に DN(識別名)を入力します。
例： *, O=Example Inc, ST=Some-State, C=* accepts only certificates issued for the
Example Inc organization in Some-State state.
Step 7. 認証局による証明書のアップロード無しで証明書を受付けたい場合、Trusted fingerprints
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
196
欄の をクリックし、受付けられた SHA-1 指紋を SHA-1 fingerprint 欄に入力します。こ
のオプションは、syslog-ng の trusted-keys()のパラメータに相当します。
例：
SHA1:00:EF:ED:A4:CE:00:D1:14:A4:AB:43:00:EF:00:91:85:FF:89:28:8F,
SHA1:0C:42:00:3E:B2:60:36:64:00:E2:83:F0:80:46:AD:00:A8:9D:00:15
adds these s p e c i f i c S H A - 1 f i n g e r p r i n t s :
SHA1:00:EF:ED:A4:CE:00:D1:14:A4:AB:43:00:EF:00:91:85:FF:89:28:8F and
SHA1:0C:42:00:3E:B2:60:36:64:00:E2:83:F0:80:46:AD:00:A8:9D:00:15.
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
197
12 ログメッセージを閲覧
この章では、SSB で収集したログメッセージの閲覧の方法を説明します。
12.1 検索インターフェイスを利用 では、検索インターフェイスのカスタマイズと利用方
法、SSB で利用可能なログメッセージデータ、また、検索の例（ワイルドカードやブール
演算子）を説明します。
12.2 暗号化されたログスペースを閲覧 では、暗号化されたログスペースの復号化と
閲覧の方法を説明します。
12.3 ログデータからカスタマイズした統計を作成 では、ログデータからカスタマイズし
た統計の作成方法とレポートへの適用方法を説明します。
12.1 検索インターフェイスを利用
SSB は収集したログメッセージを閲覧するための検索インターフェイスを用意しています。そこ
では、ログスペースを選択、検索クエリを入力、タイムフレーム（期間）を指定することができ、そ
の結果を閲覧することができます。
検索インターフェイスへは、Search > Spaces を順にクリックして移動します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
198
図表 12.1 検索インターフェイス
ログスペース：
Logspace name メニューから閲覧するログスペースを選択します。ログスペースに関する情報や
設定方法は、8 SSB にログメッセージを蓄積する をご参照ください。
検索：
検索インターフェイスでは、ログメッセージの全リストを検索するため、Search query を利用する
ことができます。ヘルプが必要な場合、 アイコンをクリックします。また、より詳細な情報が必
要な場合、12.1.3 ワイルドカードとブールを使った検索 をご参照ください。
ログメッセージを検索する場合、検索エンジンの特性はログスペースにインデックスを付加する
ために使用したデリミタに依存しています。デリミタの設定方法の詳細は、 8.4.1 新しいログス
トアを作成する をご参照ください。
複雑な検索は、ワイルドカードやブール式を使用して作成することができます。実例などの情報
は、12.1.3 ワイルドカードとブールを使った検索 をご参照ください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
199
注記
SSB は、name-value ペアの name の最初の 60 文字のみをインデクス化します。name が 60
文字より長い場合、そのまま 60 文字以上で検索すると結果が得られません。
例：
name-value ペアの name が以下の場合、
.sdata.security.uid=2011-12-08T12:32:25.024+01:00-hostname-12345
SSB は最初の 60 文字のみインデクス化します
.sdata.security.uid=2011-12-08T12:32:25.024+01:00-hostname以下を検索すると、結果はゼロで何も得られません
.sdata.security.uid=2011-12-08T12:32:25.024+01:00-hostname-12345
したがって、以下を使用する必要があります
.sdata.security.uid=2011-12-08T12:32:25.024+01:00-hostname- （または、一部分）
概要
選択した期間にあるログメッセージ数を表示します。
図表 12.2 ログメッセージの概観
ズーム用には
アイコンを使い、前後の期間を表示するには矢印を使用します。
期間を変更するには：
開始日時と終了日時を変更します。
特定の期間を選んでズームするには、カレンダーバー上の期間を跨ってポインターを
クリックしてドラッグします。
Jump to Last option を利用すると、最近の 15 分、1 時間、6 時間、1 日、または、1 週を
を選択できます。
バーの上にマウスをホバーリングさせると、バー内のエントリ数、バーの開始日時と終了日時
が表示されます。一つのバーをクリックするとテーブル内のその期間のエントリ数が表示されま
す。Shift+クリックで複数のバーを選択できます。
ログメッセージのリスト：
リストアップされたログメッセージの操作には、矢印キーと Page Up / Page Down を使用します。
また、好みに応じてマウスのホイールを使ったスクロールも利用できます。データが 1 行より長
い場合、自動的に改行し最初の行のみ表示されます。
ログメッセージの行を拡大するには、> をクリックします。ログメッセージの全体が表示
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
200
されます。
図表 12.3 一つのログメッセージを閲覧
リスト表示に戻るには、< をクリックします。
12.1.1
テーブルの列をカスタマイズする
ログメッセージの検索インターフェイスに表示されるデータをカスタマイズする手順を説明しま
す。
Step：
Step 1.
Customize Columns をクリックします。
Step 2.
表示されているパラメータは、Displayed columns 欄にリストアップされています。他の利
用できるパラメータは、Available static columns と Available dynamic columns 欄に表示
されます。
Dynamic columns は、name-value ペアから作成されます。
図表 12.4 テーブルの列をカスタマイズ
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
201
Available static columns 内の一つを Displayed columns に追加するには をクリック
します。
Dynamic column を Displayed columns に追加するには、Available dynamic columns
から name-value ペアを選択して をクリックします。
name が選択されると、新しい、別の dynamic column （<name> heading 付き、
<name>はキーの名前）が生成されます。関連する値は各列のセルに表示されます。
Displayed columns からパラメータを削除するには
12.1.2
をクリックします。
収集されたログメッセージに関するメタデータ
ログメッセージについて、次の情報が利用できます。
図表 12.5 検索情報を表示
Processed Timestamp: SSB が ロ グ メ ッ セ ー ジ を 受 信 し た YEAR-MONTH-DAY
HOUR:MINUTE:SECOND 形式の日時
Timestamp: メッセージ内のタイムスタンプ ー ログメッセージが生成された時の、
YEAR-MONTH-DAY HOUR:MINUTE:SECOND 形式の時間
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
202
Facility: メッセージを送信したファシリティ
Priority: メッセージのプライオリティ値
Program: メッセージを作成したアプリケーション
Pid: メッセージを作成したアプリケーションプログラムの識別子
Host: SSB にメッセージを送信したクライアントの IP アドレスまたはホスト名
Message: ログメッセージのテキスト
Tag: パターンデータベースのルールに一致したメッセージに割当られたタグ
Id: メッセージのユニークな ID
classifier.rule_id: メッセージに一致したパターンデータベースルールの ID
classifier.class: メッセージに一致したパターンデータベースルールの種類
Dynamic columns は、追加の name-value ペアから作成されており、利用可能な場合が
あります
12.1.3
ワイルドカードとブーリアンを使った検索
ログメッセージの検索にワイルドカードとブール式を利用することができます。次に異なった検索ク
エリの例を紹介します。
注記
SSB は、name-value ペアの name の最初の 60 文字のみをインデクス化します。name が 60
文字より長い場合、そのまま 60 文字以上で検索すると結果が得られません。
例：
name-value ペアの name が以下の場合、
.sdata.security.uid=2011-12-08T12:32:25.024+01:00-hostname-12345
SSB は最初の 60 文字のみインデクス化します
.sdata.security.uid=2011-12-08T12:32:25.024+01:00-hostname以下を検索すると、結果はゼロで何も得られません
.sdata.security.uid=2011-12-08T12:32:25.024+01:00-hostname-12345
したがって、以下を使用する必要があります
.sdata.security.uid=2011-12-08T12:32:25.024+01:00-hostname- （または、一部分）
完全一致の例は、完全一致と複雑なクエリを使用した検索 をご参照ください。
メッセージの特定部分の検索例は、メッセージの特定部分を検索 をご参照ください。
検索キーワードを組み合わせるためのブール演算子の使用例は、検索キーワードの組
み合わせ をご参照ください。
ワイルドカード検索の例は、ワイルドカード検索を使用 をご参照ください。
特殊文字を使った検索の例は、特殊文字を検索 をご参照ください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
203
完全一致と複雑なクエリを使用した検索
デフォルトでは、SSB はログメッセージの MESSAGE パート内の全ワードをキーワードとして検索し
ます。そして、完全一致のみ表示します。
例 12.1. 完全一致の検索
検索表現：
example
一致する場合：
example
一致しない場合：
examples
example.com
query-by-example
exam
メッセージの特定部分を検索
<type>: プリフィックスを使用してメッセージの特定部分を検索することができます。Message: （ま
たは msg:）プリフィックスはメッセージ部分を意味し、省略することができます。例： アプリケーシ
ョンの名前を検索するには、program:プリフィックスを使用します。ホスト名の検索には、host:プリ
フィックスを使用します。その他も同様です。
例 12.2. メッセージの特定部分を検索
検索表現：
Program:syslog-ng
一致する場合：
syslog-ng アプリケーションからの全メッセージ
検索キーワードの組み合わせ
検索キーワードを組み合わせるため、ブール演算子（AND、OR、NOT）を使用できます。より複合
的な表現は、括弧を使って組み立てることができます。
例 12.3. 検索におけるキーワードの組み合わせ
検索表現：
keyword1 AND keyword2
一致する場合：
（両方のキーワードを持つメッセージが返ります）
検索表現：
keyword1 OR keyword2
一致する場合：
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
204
（少なくとも１つのキーワードを持つメッセージが返ります）
ブール演算子（例：AND）として解釈できる表現を検索するには、以下
の形式を使用してください： message:AND.
例 12.4. 検索における括弧()の使用
括弧()を使用して、より複雑な検索表現を作成することができます。
検索表現：
(keyword1 OR keyword2) AND keyword3
一致した場合：
（keyword1 と keyword3 または keyword2 と keyword3 を
持つメッセージが返ります）
ワイルドカード検索を使用
検索表現に、？と＊のワイルドカードが使用できます。
例 12.5. ワイルドカード？の使用
? (クエスチョンマーク)は任意の１文字を意味します。
注記：? ワイルドカート検索は、 UTF-8 でない文字あるいは、マルチ
バイト文字を検索することができません。これらの文字を検索する場
合、検索表現 ?? が使えるかもしれません。または、代わりに* ワイル
ドカードを使用します。
検索表現：
example?
一致する場合：
example1
examples
一致しない場合：
example.com
example12
query-by-example
example?
検索表現：
?example?
一致する場合：
1example2
一致しない場合：
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
205
example.com
example12
query-by-example
検索表現：
example??
一致する場合:
example12
一致しない場合：
example.com
example1
query-by-example
例 12.6. 検索におけるワイルドカード*の使用
*は 0 あるいはそれ以上の任意の文字を意味します。UTF-8 でない文
字とマルチバイトの文字も検索できます。ワイルドカードは、どのメッセ
ージ部分でも動作します（例：program:postfix*）。
検索表現：
example*
一致する場合:
example
examples
example.com
一致しない場合:
query-by-example
example*
検索表現：
*example
一致する場合:
example
query-by-example
一致しない場合:
example.com
example12
検索表現：
*example*
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
206
一致する場合：
example
query-by-example
example.com
example12
例 12.7. 検索におけるワイルドカードの組み合わせの使用について
ワイルドカード文字は組み合わせることができます。
検索表現：
ex?mple*
一致する場合:
example1
examples
example.com
exemple.com
一致しない場合:
exmples
query-by-example
特殊文字を検索
クエスチョンマーク(?), アスタリスク (*), バックスラッシュ（円マーク：\) または スペース ( ) 文字
を検索するためには、プリフィックス（接頭辞）としてバックスラッシュ（円マーク：\) を使用しなけれ
ばなりません。バックスラッシュの後の文字は、検索されるための文字として扱われます。
例 12.8. 特殊文字の検索
特殊文字を使用する場合は、バックスラッシュ (円マーク：\) を使用し
てください。
.
検索表現：
example\?
一致する場合:
example?
一致しない場合:
examples
example1
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
207
バックスラッシュ文字を検索する場合、２つのバックスラッシュを使用し
てください(\\)。
検索表現：
C:\\Windows
一致する場合：
C:\Windows
検索表現：
nvpair:path=C:\\Program\ Files
一致する場合：
C:\Program Files
注記
ログメッセージの MESSAGE 部分内で空白文字（スペース）を検索することはできま
せん。これは、デリミタ（区切り記号）としてハードコーディングされているためです。
12.2 暗号化されたログスペースを閲覧
デフォルトでは、SSB の Web インターフェイスから暗号化されたログスペースを閲覧することは
できません。SSB が必要とされる復号鍵の情報を持っていないからです。暗号化されたログス
ペースを見られるようにするために、SSB は以下のオプションを提供しています。
シングルユーザ用の復号鍵を使用
12.2.1 継続性のある復号鍵を使用 をご参照ください。
ユーザのセッション中にのみ有効な復号鍵を使用
12.2.2 セッションオンリーの復号鍵を使用 をご参照ください。
ログストア（全 SSB ユーザが利用可能になる）に復号鍵を設定します。このオプションは、
セキュリティのリスクが高くなります。
12.2.3 ログストアに復号鍵を設定 をご参照ください。
注記
暗号と復号用に SSB 自身の鍵と証明書は使用しないでください。
2048-bit RSA キー（または、より強力）の使用を推奨します。
12.2.1
継続性のある復号鍵を使用
復号鍵をアップロードして、それをユーザアカウントにバインド（結びつけ）します。復号鍵は SSB
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
208
にストアされますが、このユーザのみ利用可能となり、パスフレーズでプロテクト（暗号化）されま
す。
Step：
Step 1.
UserMenu の Private keystore をクリックします。ポップアップウィンドウが現れ
ます。
Step 2.
Permanent の をクリックします。さらに欄が現れます。Certificate の方の
を
クリックします。するとさらにポップアップウィンドウが表示されます。
図表 12.6 秘密鍵ストアに、暗号化キーを追加
Step 3.
ログストアの暗号化に使用された証明書を、貼り付ける、または、アップロードし
ます。
Step 4.
Key の方の
をクリックします。ポップアップウィンドウが開きます。
Step 5.
ログストアの暗号化に使用された証明書の秘密鍵を、貼り付ける、または、アッ
プロードします。
Step 6.
さらに鍵を追加する場合は、Step2～5 を繰り返します。
Step 7.
Security passphrase タブ > Change の順にクリックします。秘密鍵を保護するた
めにパスフレーズを入力します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
209
図表 12.7 秘密鍵をパスフレーズで保護
Step 8.
12.2.2
全て入力したら、Apply をクリックします。
セッションオンリーの復号鍵を使用
セッション中に暗号化されたログスペースを閲覧するため、復号鍵をアップロードすることができま
す。これらの鍵は、SSB からログアウトすると自動的に削除されます。
Step：
Step 1.
User Menu > Private keystore をクリックします。ポップアップ ウィンドウが現れ
ます。
Step 2.
Temporary の をクリックします。さらに欄が現れます。Certificate の方の
を
クリックします。するとさらにポップアップ ウィンドウが表示されます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
210
図表 12.8 秘密鍵ストアに復号化キーを追加
Step 3.
ログストアの暗号化に使用された証明書を、貼り付ける、または、アップロードし
ます。
Step 4.
Key の方の
をクリックします。ポップアップウィンドウが開きます。
Step 5.
ログストアの暗号化に使用された証明書の秘密鍵を、貼り付ける、または、アッ
プロードします。
Step 6.
さらに鍵を追加する場合は、Step2～5 を繰り返します。
Step 7.
全て入力したら、Apply をクリックします。
12.2.3
ログストアに復号鍵を設定
秘密鍵をログストアに追加でき、ログストアのファイルを復号するために使用されます。この方法
では、特定のログスペースを検索するためのアクセス権を持っている人が、メッセージを検索でき
ます。復号鍵は SSB のコンフィグレーションファイルに暗号化されずにストアされます。
これは、セキュリティリスクを高めるため、本当に必要な場合を除き、このソリューションは避けてく
ださい。
Step：
Step 1.
Log > Spaces の順にクリックし、SSB の Web インターフェイスかアクセスするあ
らゆるユーザのアクセスを可能にしたい、暗号化されたログスペースを指定しま
す。
Step 2.
Decryption private Keys 欄の
をクリックします。ポップアップ ウィンドウが現
れます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
211
図表 12.9 ログストアに復号化キーを追加
Step 3.
ログストアを暗号化するために使用された証明書の秘密鍵を、貼り付ける、ま
たは、アップロードします。
Step 4.
Step 5.
さらに鍵を追加する場合は、上記ステップ 2-3 を繰り返します。
をクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
212
12.3 ログデータからカスタマイズした統計を作成
SSB では、Timestamp、Facility、Priority、Program、Pid、Host、Tags、.classifier.class 欄から統計
を作成できます。必要な欄を追加するには、Customize columns を使用してください。
ログメッセージの統計を表示するには、テーブルのヘッダーにある統計アイコン
をクリックしま
す。
注記
.classifier.class のデータは、パターンデータベースを使用した時にメッセー
ジに割り当てられたクラスです。詳細は、14 パターンデータベースによる
メッセージの分類 をご参照ください。BalaBit から提供されているパターン
データベースは、現在、デフォルトで次のメッセージクラスを使用していま
す： system、security、violation、unknown。
12.3.1
ログの統計を表示
Bar chart または Pie chart そして List から選択することができます。
図表 12.10 Bar chart としてログの統計を表示
Pie chart と List ビューでは、パーセントを合計すると 100%になります。ただ例外があり、Tags をベ
ースにした場合の統計です。これは、メッセージではなく tag をベースに統計をだしており、メッセー
ジが複数の tag を含んでいる場合、合計が 100%以上になる可能性があります。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
213
図表 12.11 Pie chart と List でログ統計を表示
統計はエントリ数の大きい順です。小さい順にするには Least を選択してください。
これらの統計は、Export all to CSV オプションにて CSV 形式でエクスポートすることができますし、
または、レポートにサブチャプターとして含めることができます。
警告
大きなサイズのデータをエクスポートするのに Export as CSV を使用しない
ようにしてください。特にシステムの負荷が高い場合、エクスポート速度が
非常に遅くなります。データの大きな部分を定期的にプレーンテキストにす
る必要がある場合、次の利用を検討してください。SSB RPC API（詳細は、
15 SSB の RPC API）、または、ネットワークでログファイルを共有し外部ツー
ルで処理する（詳細は、8.6 ネットワーク経由でログファイルにアクセスす
る）。
12.3.2
カスタムな統計からレポートを作成
ログの統計をレポートのサブチャプターとして含められるようにセーブすることができます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
214
図表 12.12 カスタムな統計からレポートを作成
Step 1.
統計ビューで、Report settings をクリックして下さい。
Step 2.
Report subchapter name 欄で統計用の名前を追加します。
Step 3.
レポート用に Visualization を選択します： List、Pie chart、Bar chart
Step 4.
エントリのソート方法を選択します： descending(Top)または ascending（Least）
Step 5.
レポートに含めたい Number of entries を選択します。
注記
All を選択すると最初の 1000 の結果だけが含まれます。残りの結果
は’others’として合算されます。
Step 6.
Grant access for the following user groups 欄でサブチャプターをアクセスできるユーザグ
ループを選択します。
Step 7.
Save As Report subchapter をクリックします。
Step 8.
レポートに上記のサブチャプターを追加するには、次の手順に従ってください。13.7.2 カ
スタムレポートの設定。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
215
13 SSB の内部メッセージを閲覧
SSB は内部メッセージ用の検索インターフェイスを用意しており、内部メッセージを検索、フィルタ
ー、エクスポートをすることができます。内部メッセージは SSB 自身が生成したメッセージ（外部ソ
ースから収集したメッセージではない）で、SSB アプライアンス、設定変更、通知、警報、統計を含
んでいます。検索の詳細情報は、13.1 内部検索インターフェイスを使用 をご参照ください。
SSB アプライアンスのログメッセージ：
Search > Spaces にある local ログスペースに、全ログメッセージが入っています。
ログの検索インターフェイスの詳細は、12.1 検索インターフェイスを利用 をご参照くださ
い。
Basic settings > Troubleshooting で最新のログメッセージが利用できます。
トラブルシューティングのツールの詳細は、16 SSB のトラブルシューティング をご参照く
ださい。
設定変更：
AAA > Accounting で SSB ユーザと管理者の設定に関連する活動を閲覧できます。SSB
の Web インターフェイスで実施した設定変更は、ここに全てリストされています。
リストの詳細は、13.2 SSB のチェンジログ をご参照ください。
syslog-ng Premium Edition 3.0 またはそれ以降を使用しているクライアント コンピューター
（ピア）は、設定が変更されると、特別なログメッセージを SSB に送信します。これらの変
更内容は、Search > Peer configuration change にリストされています。
リストの詳細は、13.3 syslog-ng ピアの設定変更 をご参照ください。
アラートと通知：
特定のログメッセージで警報が出るようにパターンデータベースを使用している場合、アラ
ートの履歴が Search > Alerts で閲覧できます。
リストの詳細は、13.4 ログメッセージアラート（警報） をご参照ください。
バックアップとアーカイブの通知（処理中に発生したエラーも含む）は、Search > Archive &
Cleanup にストアされています。
リストの詳細は、13.5 アーカイブとバックアップの通知 をご参照ください。
統計とレポート：
SSB の統計は、Basic settings > Dashboard で利用できます。
リストの詳細は、13.6 統計集計のオプション をご参照ください。
PDF のレポート（SSB の設定変更、システムのヘルス情報、その他の SSB のアクティビテ
ィ）は、Reporting > Reports で利用可能です。
リストの詳細は、13.7 レポート をご参照ください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
216
13.1 内部検索インターフェイスを使用
内部検索インターフェイスは、設定変更、アラート、通知、レポートを閲覧やフィルタリングするため
に使用できます。
図表 13.1 内部検索インターフェイス
バー（縦棒）は、選択された期間のログメッセージ数を表示しています。ズーム用には
を使
用し、前後の期間を表示するには矢印アイコンを使用します。日付を明示的に選ぶには、Jump to
をクリックして日付をカレンダに入力します。Scale オプションで、表示されている期間の長さを変え
ることができます。
マウスのポインターをバー上に持って行くと（ホバーリング）、エントリ数と期間の開始終了日を表
示します。テーブルに期間内のエントリを表示するにはバーをクリックします。複数のバーを選択
するには、Shift+クリック を使用します。
テーブル内のエントリーデータが 1 行より長い場合、自動的に折り返され最初の 1 行のみ表示さ
れます。行の表示を拡張するには、
をクリックします。元に戻すには
をクリックします。全行
を拡張・縮小するには、テーブルのヘッダーにある各ボタンをクリックします。また、各行をダブル
クリックすると拡張・縮小させることができます。
13.1.1
フィルタリング
テーブルのデータは、色々なパラメータやパラメータの組み合わせにより、選別することができま
す。リストされたデータを選別するには、テーブルのカラム（列）の入力フィールドにフィルター式を
入力し Enter を押す、またはテーブル内のエントリをクリックします。
注記
フィルターを使用すると、バーはフィルター結果の統計を表示します。
フィルタリングは部分的な一致も表示します。例えば、AAA > Accounting 画面で Author カラムを
adm でフィルタリングすると、adm を含むユーザネームを持っているユーザが実施した全変更を表
示します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
217
正確な検索をしたい場合
アイコンを、逆（含まない）の検索の場合は
す。カラムからフィルターを削除するには
アイコンが使用できま
アイコンをクリックします。
元のテーブルに戻すには、Clear all filters をクリックします。
13.1.2
結果をエクスポート
検索結果のテーブルをファイルとしてセーブするには Export as CSV をクリックします。これは、
Comma-separated values のテキストファイルとしてテーブルをセーブします。次は注意事項です。
データをエクスポート時にエラーが発生した場合、CSV ファイルは、ゼロで始まる問題の詳細の行
（通常ファイルの最終行として）を含みます。例えば 0; description_of_the_error。
警告
大きなサイズのデータをエクスポートするのに Export as CSV を使用しない
ようにしてください。特にシステムの負荷が高い場合、エクスポート速度が
非常に遅くなります。データの大きな部分を定期的にプレーンテキストにす
る必要がある場合、次の利用を検討してください。SSB RPC API（詳細は、
15 SSB の RPC API）、または、ネットワークでログファイルを共有し外部ツー
ルで処理する（詳細は、8.6 ネットワーク経由でログファイルにアクセスす
る）。
13.1.3
内部検索インターフェイスのカラムをカスタマイズ
目的：
内部検索インターフェイスに表示されたデータをカスタマイズします。
Steps：
Step 1. 閲覧したいデータベースに移動します。例えば、AAA > Accounting
Step 2. Customize Columns をクリックします。Visible columns と Available columns から成るポッ
プアップウィンドウが表示されます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
218
図表 13.2 汎用な検索インターフェイスのカスタマイズカラム
Step 3. 表示されたパラメータは Visible columns に登録され、他の利用可能なパラメータは
Available columns に登録されています
Visible columns フィールドへパラメータを追加するには、必要なパラメータを選択しＡｄｄ
をクリックします。
Visible columns フィールドからパラメータを削除するには、必要なパラメータを選択し
Remove をクリックします。
カラムをフリーズ（横にスクロールしても見えるように）するため、パラメータ横の Freeze
オプションをイネーブル（チェックマークを付けます）にします。
注記
複数のパラメータを選択するには、アイテムをクリックしている間、Ctrl を押
します。
Step 4. OK をクリックします。選択した情報が表示されます。
13.2 SSB のチェンジログ
SSB は自動的にユーザと管理者のアクティビティを記録します。これらのアクティビティは AAA >
Accounting に表示されます。次の情報が利用できます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
219
図表 13.1 設定変更を表示
Timestamp:
変 更 が 反 映 さ れ た と き の 日 付
HOUR:MINUTE:SECOND フォーマット
YEAR-MONTH-DAY
Author: 変更を実施した SSB のユーザ
Page: 変更されたメインメニューアイテム（例 Basic Setting > Management）
Field name: 変更されたページ上のフィールドの名前
New value: 変更後のフィールドの新しい値
Description: SSB 管理者により入力されたチェンジログ。チェンジログは AAA > Settings >
Require commit log オプションが変更時に有効になっていた場合のみ利用できます。
Old value: フィールドの元の値
Swap: ページ上でオブジェクトの順番が変更された時のサイン（例： リスト内の２つのポ
リシーの順番）
13.3 syslog-ng ピアの設定変更
syslog-ng Premium Edition 3.0 及び以降がインストールされているピアは、設定が変更されると
SSB に対して自動的に通知します。そのログは、SSB の Search > Peer Configuration Change
で確認できます。ただし、その通知ログには、変更内容は含まれないことにご留意ください。単
に、変更が加えられたことのみを通知します。以下の情報が通知ログより取得可能です。
Timestamp ： 受信したログのタイムスタンプ。ログが生成された日付と時刻を意味し、
YEAR-MONTH-DAY HOUR:MINUTE:SECOND 形式
Hostname： 設定変更が加えられた、クライアントの IP アドレスまたはホスト名
Validity： チェックサム署名の検証
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
220
Version： ログ送信元の、syslog-ng アプリケーションのバージョン番号
Sender address： 最終的に SSB にログを送信した、クライアントまたはリレーの
IP アドレス
Signature：syslog-ng クライアントのシグネチャ
Fingerprint：変更後の設定ファイルの SHA-1 ハッシュ
13.4 ログメッセージアラート（警報）
パターンデータベースを使用している場合、Violation とクラス分けされたログメッセージが発生
すると、SSB はアラートを発信します。こうしたアラート発生の履歴は、Search > Alerts にて確認
できます。以下の情報を取得できます。
図表 13.4 アラートメッセージを表示
Timestamp： アラート発生の日付。YEAR-MONTH-DAY HOUR:MINUTE:SECOND 形式
Sender address： 最終的に SSB にログを送信した、クライアントまたはリレーの
IP アドレス
Hostname： メッセージを送信した、クライアントの IP アドレスまたはホスト名
Program： 当該ログを生成したアプリケーション
Message： ログのメッセージ部分の内容
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
221
Rule ID： メッセージに合致したパターンデータベースの分類ルール ID
Rule description： メッセージに合致したパターンデータベースの分類ルールに関する説
明。パターンデータベースに関して詳細は、14 パターンデータベースによるメッセージの
分類 をご参照ください。
13.5 アーカイブとバックアップの通知
アーカイブ･クリーンアップ･バックアップにおける通知やエラーメッセージに関しては、Search >
Archive & Cleanup で確認できます。以下の情報を取得できます。
図表 13.5 アーカイブとバックアップ通知を表示
Timestamp： メッセージの日付と時刻。YEAR-MONTH-DAY HOUR:MINUTE:SECOND 形
式
Logspace： アーカイブまたはバックアップされたログスペースの名称
Directory name： アーカイブとバックアップが置かれたフォルダ名。新しいフォルダは毎日
作成され、フォルダ名として現在の日付を使用
Policy： 実行されたアーカイブまたはバックアップポリシーの名称
Archive Target： 実行されたポリシーで対象となったリモートサーバーのアドレス
Manual archiving： アーカイブまたはバックアップが手動で起動された場合に表示
13.6 統計収集のオプション
Dashboard(詳細は、16.5 ステータス履歴と統計をご参照ください)に集められた統計の内容や
量的な管理･制御は、統計オプションにて行います。
Log > Options > Dashboard Statistics の順にクリックします。
Time-based statistics: デフォルト設定は Enabled です
Cleanup if unchanged for：統計に対し、変更が加えられていない(表示･出力が全くされて
いない)期間が指定した日数に達した場合、削除します。0 を入力すれば、削除は一切行
いません。削除をすぐに実行する場合は、Cleanup now をクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
222
Enable statistics for: デフォルトでは、全てのチェックボックスが有効になっています。こ
れにより、統計を集計するためのオプションを選択できるようになります。集計した統計を
表 示 す る た め に は 、 Basic Settings > Dashboard > Syslog-ng statistics, に 進 み 、
Time-based statistics を選択し、希望のオプションを選択してください。
注記
オプションを無効にすると、データは最初のクリーンアップ後に削除されま
す。その時まで、既に収集されたデータはダッシュボードからアクセスでき
ます。
Top/Least statistics： デフォルト設定は Enabled で全てのチェックボックスが ON です。統計を
収集するオプションを選択できます。取得した統計データは、Basic Settings > Dashboard >
Syslog-ng statistics の順にクリックし、Top/Least statistics を選択し、表示させたいオプション
を選択します。
Maximum number of statistics to process： システムに保持する統計ファイル数を入力します。
０を入力すると無制限に統計ファイルを保存します。この制限以上の統計はドロップし、SSB は
ドロップしたエントリ数と最初にドロップしたエントリを含むエラーメッセージを送信します。この設
定は、10000 ホストよりも多くを持っている場合のみ増やす必要があるでしょう。
Sampling interval： 統計を取得する間隔を調整します。間隔を詰めれば、より詳細な統計情報
になりますが、その分システムに負荷がかかります。デフォルトでは 5 分になっており、プルダウ
ンから以下の間隔を選択できます。5 分、10 分、30 分、60 分、2 時間、4 時間、8 時間、1 日。
警告
データ喪失にご注意ください！統計取得の間隔を変更すると、それまでに
取得した統計ファイルは全て削除されます。
全ての統計ファイルを削除したい場合は、Clear all statistics をクリックします。統計ファイル保持
の上限値を変更した際、あるいは time-based statistics を Disabled にした場合は、統計を全削除
することを推奨いたします。
13.7 レポート
SSB は、管理者の行った作業、システムヘルスの状態、あるいは処理したトラフィックなどに関
してのレポートを定期的に作成します。これらのレポートは、PDF（Portable Document Format）
になっており、メインメニューで Reports > Generated reports の順にクリックして閲覧することが
できます。また、Basic Settings > Management > Mail settings > Send reports で設定されたアド
レスに、メールでレポートを送信することも可能です。
SSB の Web インターフェイスからレポートにアクセスするには、ユーザがその権限を有して
いなければなりません。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
223
注記
Basic Settings > Management > Mail settings > Send reports の設定が
なされていない場合、SSB は、レポートを管理者のアドレスに送信します。
図表 13.6 レポートを閲覧
レポートは以下の時刻に生成されます。
Daily レポート：毎日午前 0：01
Weekly レポート：毎週月曜日の午前 0：01
Monthly レポート：毎月 1 日の午前 0：01
ヒント
ある期間のレポートに絞る場合、日付バーを使用します。期間を明示的に選択
した場合、その範囲内のレポートのみが表示されます。
レポートに関する情報は以下の通りです。
Download： レポートをダウンロードするためのリンク
Name： レポートの名称
Interval： レポーティング期間。週、月など
Report from： レポート期間の始まり
Report to： レポート期間の終わり
Generate time： レポートが生成された日付
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
224
ヒント
本日分のレポートをすぐに作成したい場合は、Generate reports for today をクリ
ックします。レポートは、午前 0 時からその時刻までのデータが入ります。ログの
異常検出機能 (詳細は、14 パターンデータベースによるメッセージの分類 をご
参照ください)が Enable になっている場合、ログの異常検出レポートも同時に作
成されます。
13.7.1
デフォルトレポートの内容
デフォルトのレポート（System と呼ばれている）は、PDF (Adobe Portable Document Format)で作
成され、以下の情報を含んでいます。
設定変更： SSB のページ毎とユーザ毎の設定変更数の一覧表。また、変更の頻度もチ
ャートで表示されます。
ピアの設定： クライアント毎に syslog-ng クライアントの設定が変更された数の一覧表。ま
た、クライアントホストで動作している syslog-ng のバージョン番号の情報（もしこの情報が
あれば）も含まれます。
アラート： パターンデータベースを使用したメッセージ分類からのアラートに関する各種
の統計。
syslog-ng トラフィックの統計： 受信数、フォワード数、保存数、ドロップしたメッセージ数の
レートを messages/second の形式で表示します。
システムのヘルス情報： SSB のファイルシステムとネットワークに関する利用情報、また、
平均の負荷についても表示します。
13.7.2
カスタムレポートの設定
目的：
カスタムレポートを作成する SSB の設定方法について説明します。ユーザは、use static
subchapters への read&write/perform アクセス権を持っている必要があります。
Step：
Step 1. SSB の Web インターフェイスへログインし、Reports > Configuration の順にクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
225
図表 13.7 カスタムレポートを設定
Step 2.
をクリックし、入力欄を展開させます。レポートの名称を決め、青地タブ内の入力欄に入
力します。
Step 3. レポートは、Chapter(章)-Sub chapter(項目)の階層で形作られます。新しい章を追加する
には、Table of contents 欄の Add chapter をクリックし、章の名前を決めて入力し、OK を
クリックします。必要な分だけ、このステップを繰り返します。
Step 4. 項目には、Add subchapter をクリックした際に表示される、ポップアップウィンドウに盛り
込まれているさまざまな統計レポートの中から選択をします。カスタム統計によって作成
されたレポートは、その一覧の最下部に表示されています。
Step 5. 項目の順序を入れ替えたい場合は、矢印アイコンを用います。
Step 6. Generate this report every 欄で、このレポート出力の間隔を指定します。Week を選択す
ると、毎週月曜日に、Month を選択すると、毎月 1 日がレポート日になります。手動で都
度出力するだけにしたい場合、何も選択しないで置きます。
Step 7. デフォルトでは、search グループのみが、SSB の Web インターフェイスよりカスタムレポー
トを閲覧できます。変更するには、別グループ名を Reports are accessible by the
following groups に入力します。また、他のグループへアクセスさせるためには をクリッ
クしてください。
注記
Reporting > Generated reports メニューに、許可グループとして設定されて
いないユーザグループは、ここで許可したカスタムレポートに対するアクセ
スのみが許されます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
226
Step 8. デフォルトでは、SSB は Basic Settings > Management > Mail settings > Send reports to
を順にクリックした画面に設定されているメールアドレスに、レポートを送信します。
注記
上記の設定がなされていない場合、SSB は、レポートを管理者
のアドレスに送信します。
メールによるレポート送信をしない場合は、Send reports in e-mail オプションのチェック
を外します。
Step8 の設定とは異なるアドレスにメール送信したい場合、Recipient 欄の Custom
address を選択し、送信先メールアドレスを入力します。必要に応じて複数の e-mail アド
レスを入力するには をクリックしてください。
Step 9.
をクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
227
14 パターンデータベースによるメッセージの分類
パターンデータベース(以下、｢パターン DB｣)を使うことで、受信したログメッセージをさまざまなクラ
スに分類する、アラートを受信する、また、パターンに合致しないログメッセージを、artificial
ingnorance(ログの異常検出機能)により収集することができます。
図表 14.1 パターンデータベース
ログメッセージのクラス分けは常時実行されていることに注意してください。ただし、分類した結果
を統計等に用いるためには、Log > Options の順にクリックし、明示的な設定をする必要がありま
す。
図表 14.2 artificial ingnorance とパターンマッチングのアラートを有効にする
Violation として分類されたメッセージを Alert として受信するには、 Log > Options に移動
し Alerts オプションを有効にします。
パターンデータベースに含まれないメッセージに関するレポートを受信するには、Log >
Options に移動し、Artificial ignorance オプションを有効にします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
228
14.1 パターン DB の構造
パターン DB は以下の通り構成されています。
ルールセット 1
ルールセット 2
・・・
プログラムパターン
ルール 1：
メッセージパターン クラス タグ
ルール 2：
メッセージパターン クラス タグ
・・・・
ルール n：
メッセージパターン クラス タグ
ルールセット n
図表 14.3 パターンデータベースの構造
パターン DB は、｢ルールセット｣から成っています。ルールセットは、プログラムパターン
と、ルールから成っています。ログを生成したアプリケーションがルールセット中のプログラ
ムパターンと一致した場合、ルールセット中の各ルールは、ログメッセージを検査します。ア
プリケーション名(syslog-ng の$PROGRAM マクロの値)は、適用可能なプログラムパターンと
比較され、それらが一致したルールセット中のルールが、そのログメッセージに対して適用
されます。
プログラムパターンは、アプリケーション名、あるいはアプリケーション名の先頭から一部分
を表す文字列です。(例：sendmail が生成したログに合致させる場合、プログラムパターンは
"sendmail"あるいは単に"send"となります)そして、プログラムパターンには、パターンパー
サを含めることができます。パターンパーサは、メッセージをセグメント分けするための
syslog-ng パターンパーサとは全く独立したものです。また、全てのルールには識別子が付
きます。ログメッセージがルールに合致した場合、ルール内の識別子は、ログメッセージそ
のものと一緒に保存されます。
ルールは、メッセージパターンとクラスから成ります。メッセージパターンはプログラムパター
ンと似ていますが、メッセージパターンは、ログのメッセージ部分(すなわち、syslog-ng の
$MESSAGE マクロの値)の比較に用いられます。メッセージパターンが、ログのメッセージ部
分と合致したら、ルール中のクラス(例：Security、Violation)に分類されます。
ルールには、合致したログメッセージに関する情報を付加することができます。例えば、ル
ールの説明、URL、パラメータ名－値のペア、あるいは自由なフォーマットのタグです。ルー
ルにアラート受信が設定されていれば、これらの情報は syslog-ng Store Box のｅメールアラ
ートに表示されます。また、search インターフェイスにも表示されます。
パターンには、キーワード、キーキャラクター等の定数、パターンパーサを含めることもでき
ます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
229
注記
$PROGRAM の値が空白のログメッセージを受信した場合、｢プログラムパターン｣が空白
のルールが適用されます。
｢プログラムパターン｣が、複数の｢ルールセット｣で用いられる場合、これらのルールセット
内のルールはマージされ、それぞれのルールが、メッセージのクラス分けに用いられま
す。マージされたルールセット内では、メッセージパターンは一意である必要があります。
しかし、現在では一つのルールセットにのみ、一意か否かの検査が行われます。
14.2 パターンマッチング
図表 14.4 パターンを適用
ここでは、パターンがどう機能するかを説明します。プログラムパターンとメッセージパターン
いずれにも当てはまる説明ですが、メッセージパターンは、プロシージャを表しています。
パターンには、キーワード、キーキャラクターといった定数と、パターンパーサを含めることがで
きます。パターンパーサは、文字列の順序を、そのルールに則って解析します。
注記
パターンでワイルドカードや正規表現は使えません。また、"@"を文字その
ものとして解析したい場合は、エスケープ文字を前におく必要があります。
具体的には"@@"と表記します。syslog-ng のパターンパーサは、"@"で囲
まれているからです。
新たなログメッセージが到着すると、syslog-ng はパターン DB を適用してメッセージのクラス分
けを開始します。適用できるパターンは、アルファベット順にツリー構造になっており、syslog-ng
は、ログメッセージの文字列を先頭から、一文字ずつ検査していきます。これはすなわち、各ス
テップにおいてはルールの一部分のみが適用されていることを意味し、結果、処理速度の向上
に貢献しています。ルールの総数が増えても、クラス分けの速度は実質、低下しません。
例えば、"Apple"という文字列から始まるログメッセージを受信したとします。まずは、先頭の
"A"が、パターンに合致するかどうか検査されます。次のステップで、"Ap"というパターンを
syslog-ng が選択し、検査します。この様にして 2 文字目、3 文字目･･･と進んでいきます。これは、
パターンを検査しきって残りがなくなるまで繰り返されます。
文字による照合が、パターンパーサよりも優先されることにご注意ください。あるステップにおい
て、文字ごとのマッチングで次の文字に合致したとし、また同時にパターンパーサでも合致した
とすると、文字ごとの照合で合致した方が選択されます。上記例で言えば、文字ごとの照合条
件は、"Apport"であり、パターンパーサには"Ap@STRING@"と定義されていた場合、文字ごと
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
230
の照合の"Apport"が優先されます。次に来る文字と、文字列検索の条件が合致しない(例：検
索対象の文字が"Apple"→"Apport"に 4 文字目が合致しない)場合に初めて、syslog-ng はパー
サの解析パターンと合致するかどうかを検査します。ただし、同一階層に複数のパターンパー
サが定義されている場合、たとえメッセージ(内の文字列)と完全に合致しなくとも、最初のパター
ンのみが適用されます。
同一階層に複数のパターン解析エンジンが定義されている場合、(例："Ap@STRING"と
"Ap@QSTRING")どのパターンが用いられるかは、ランダムです。ただし、最初に適用されたパ
ターンで一文字たりとも合致しなかった場合のみ、他のパターンが用いられます。とはいえ、同
一階層に複数のパターンパーサエンジンを定義することはまれであり、したがってこの制限は、
さほど実運用に大きな影響を及ぼすものではありません。
14.3 ルールセットの検索
ルールセット内のルールを表示させるには、Log > Pattern Database > Seach の順にクリックし、
Ruleset name 欄にルール名を入力します。そして、Show をクリックします。ルールセット名を完
全に覚えていないときは、始まりの文字を入力して Show をクリックすれば、それに合致する全
てのルールセット名が表示されます。特定の条件に合うルールを検索するには、Program また
は Message 欄に条件を入力し、Search をクリックします。入力した条件に合致するルールをもつ
ルールセットが表示されます。
注記
莫大な数のルールを定義してあるルールセットは、正しく表示されない
場合もあります。
図表 14.5 ルールの検索
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
231
14.4 新たなルールセットとルールを作成
目的：
新たなルールセット及びルールの作成方法を説明します。
Step：
Step 1.
Log > Pattern Database の順にクリックし、Search 欄の Create new ruleset をク
リックします。
ヒント
存在しないルールセット名(の一部)で検索をかけた場合、SSB は、その名前
を持つ新たなルールセットを作成するように促します。
Step 2.
Name 欄に、ルールセット名を入力します。
図表 14.6 パターン DB のルールセットを作成
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
232
Step 3.
Program pattern 欄に、対象となるログのアプリケーションに合致するアプリケー
ション名、あるいはパターン名を入力します。詳細は、14.7 パターンパーサの使
用をご参照ください。
Step 4.
オプションとして、ルールセットの説明を、Description 欄に記入することができ
ます。
Step 5.
クラスに、ルールを追加します。
Step a.
Rules 欄の をクリックします。
Step b.
Pattern タブ内の入力欄に、対象となるログのメッセージに合致する、メ
ッセージの最初の数文字、あるいはパターンを入力します。詳細は、
14.7 パターンパーサの使用をご参照ください。なお、Step3 の Program
Pattern 欄に入力したアプリケーション名に合致するアプリケーションが
送出したログメッセージにのみ、この設定が適用されることにご留意くだ
さい。
Step c.
メッセージの分類を、Class プルダウンから選択します。このルールのパ
ターンに合致するログメッセージが、ここで選択したクラスに分類されま
す。Violation、Security、そして System の 3 種類から選択できます。
Log > Options > Alerting 画面で、アラート受信を有効に設定しておくと、
"Violation"に該当するログメッセージが到着した場合に、SSB は自動で
アラートを送信します。
Step d.
オプションとして、説明、カスタムタグ、パラメータ名－値のペア、をルー
ルに設定することができます。パラメータ名－値のペアには、マクロを含
めることもできます。パターン DB 及びマクロに関しての詳細は、 The
syslog-ng Premium Edition Administrtor Guide をご参照ください。
Step 6.
Step 7.
さらにルールを追加する場合、上記ステップを繰り返します。
をクリックします。
14.5 パターン DB 及びルールセットのエクスポート
パターン DB 全体をエクスポートするには、Log > Pattern Database > Export の順にクリックしま
す。
ルールセットをエクスポートするには、同じ画面の、Search > Ruleset name 欄に、エクスポートし
たいルールセット名を入力します。Show をクリックしてルールセットの設定値が表示されたら、
Export ruleset をクリックします。もし、ルールセット名が不明の場合は、Program あるいは
Message 欄から検索語を入力し、Search をクリックします。条件に合致するルールセットが表示
されます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
233
14.6 パターン DB のインポート
BalaBit 社からの公式パターン DB、または SSB からエクスポートしたパターン DB を SSB にアッ
プロードすることができます。
Cisco PIX messages
Logcheck converted messages
Zorp messages
ルールセットをインポートするには、Log > Pattern Database をクリックし Browse（参照）を選択
します。アップロードするデータベースファイルを選択して Upload をクリックします。
注記
インポートされたルールは、アップロードが終了するとすぐに有効になりま
す。公式パターン DB の一部分をご自身で編集すると、次回の公式な更新
においてはその部分に対する変更が及びません。
14.7 パターンパーサの使用
パターンパーサは、パーサの種類に特有のルールに基づいて、メッセージの解析を試みます。
解析パターンは"@"で囲まれます。パターン解析は、以下の文法にのっとって記述します。
最初の"@"
パーサの種類(大文字表記)
名前(オプション)
解析エンジンのパラメータ(任意)
おしまいの"@"
例 14.1：パターンパーサの文法
シンプルなパーサ
@STRING@
名前付きパーサ
@STRING:myparser_name@
パラメータありの名前付きパーサ
@STRING:myparser_name : *@
パラメータ付き、しかし名前のないパーサ
@STRING : :* @
以下のパーサが使用できます。
@ANYSTRING@ ： ログメッセージの最後まで、どんな文字列であろうが解析します。つ
まり、特別のマクロにとらわれず、全てのメッセージを収集したい場合に用います。この
点では、CSV パーサの greedy()オプションに似ています。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
234
@DOUBLE@： @FLOAT@パーサの、古いエイリアス
@ESTRING@： このパーサは、ストップ文字として機能するパラメータが必要です。この
パーサは、ストップ文字が現れるまで解析を続けます。例えば、次に現れるダブルクォ
ーテーション｢"｣まで解析をさせたいなら、@ESTRING：："@ と記述します。syslog-ng の
Ver3.1 では、一文字の代わりとなる、ストップ文字(列)を定義することも可能です。例：
@ESTRING：：stop_here.@。
@FLOAT@： ドット(.)を含む、浮動小数点。syslog-ng Ver3.1 までは、このパーサ名は、
@DOUBLE@でした。
@IPv4@： IPv4 アドレスを解析(最大 3 つのドットで区切られた数値)
@IPv6@： 有効な全ての IPv6 アドレスを解析
@IPvANY@： あらゆる IP アドレスを解析
@NUMBER@： 10 進数表記の数値。ただし、｢0x｣で始まり、少なくとも一桁以上の、有効
な 16 進数値が 0x の直後に続く場合のみ、16 進表記として解析される。
@QSTRING@： パラメータに指定された引用符間の文字を解析。なお、引用符は、はじ
めと終わりで異なる文字を指定できることにご留意ください。たとえば、@QSTRIG：："@
は、クォーテーション｢"｣で囲まれる全ての文字を解析し、@QSTRING：<>@ の場合、開
き括弧<と閉じ括弧>の間に挟まれた文字列を解析します。
@STRING@： アルファベットまたは数字の文字列を解析。空白は対象外です。オプショ
ンとして、数字・アルファベット以外に解析対象とする文字をパラメータとして指定できま
す。(例：文全体を解析対象とするために、スペースを対象に加える @STRING：： @)
@は、パラメータ、改行文字、タブとしては使えません。
パターン及び文字列は、混合させて指定することができます。例えば、文字列 Host ：で始まる
ログメッセージで、その後 IP アドレスが続くような場合、(Host ： 192.168.10.140)、以下のパター
ンでマッチします。 Host ： @IPv4@
注記
パーサの使用は、CPU への負荷を高めます。可能な限り、ESTRING また
は QSTRING パーサをお使いください。他のパーサに比べ、大幅に速い処
理が期待できます。
例 14.2：STRING 及び ESTRING エンジンの使用
例として、受信するログメッセージが user=joe96 group=somegroup の場合、
@STRING：mytext：@パーサは、アルファベット･数字以外の最初の文字のみを
解析対象とし、結果｢user｣のみが解析･抽出されます。
@STRING：mytext：=@ パーサは、"="も、他の文字同様解析対象とし、次の
アルファベット・数字以外の値(この場合空白)に進みます。結果、｢user=joe96｣が
解析・抽出されます。
@STRING：mytext：=
user=joe
@ パーサにすると、空白も解析対象とするので、結果
group=somegroup が解析・抽出されます。
もちろん、異なる値は各々解析する方が好ましい設定といえます。例えば、
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
235
"user=@STRING：user@
group=@STRING：group@"
username または group に、空白のようなアルファベット・数字以外の値が含まれる場合は、
2 番目のパラメータに空白を明示的に入れるか、ESTRING パーサを使います。ESTRING
パーサは、次の空白が現れるまでメッセージを解析します。例：
"user=@ESTRING：user： @group=@ESTRING：group： @"
例 14.3 複数ラインのメッセージの解析
複数ラインのログメッセージ用パターンを作成することができます。例えば、次のパターン
は、行が first で終わり、second で次の行が開始する複数ラインのメッセージを見つけるこ
とができます。
first
second
14.8 フィルターとテンプレートで、パーサによる解析結果を利用する
目的：
メッセージのクラス分けや解析の結果は、カスタムフィルターやファイル、データベーステンプレ
ートに用いることが可能です。クラス分け結果を用いることができる、次の 2 つのマクロが SSB
に組込まれています。.classifier.class は、メッセージが分類されたクラス(Violation、Security、
あるいは Unknown)を含み、.classifier.rule_id マクロは、ログメッセージにマッチしたメッセージパ
ターンの識別子が含まれます。
注記
ログメッセージが SQL データベースに転送される場合、メッセージの ID
が自動的にテンプレートに挿入されます。
ログパスにおいて、これらのマクロをフィルターのように使用する方法を説明します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
236
Step：
Step 1.
Log > Paths の順にクリックし、目的のログパスを選択します。
Step 2.
特定のメッセージクラスにフィルタリングするには、Add filter > classifer_class の順に
クリックし、 をクリックしてプルダウンを展開させます。そして、合致するクラス(例：
Violation)を選択します。
図表 14.7 クラス分類によるメッセージのフィルタリング
Step 3.
特定のクラス分けルールに合致するメッセージをフィルタリングするには、Add filter >
classifer_rule_id の順にクリックし、 をクリックしてプルダウンを展開させます。そして、
ルールを一意に識別する識別子(例：e1e9c0d8-13bb-11de-8293-000c2922ed0a)を、
classifier_rule_id 欄に入力します。
注記
タグのような、別のクラス分け規則に基づいたメッセージをフィルタリング
するには、カスタムフィルターを使用する必要があります。詳細は、10.3 メ
ッセージのフィルタリングをご参照ください。
Step 4.
をクリックします。
14.9 フィルターとテンプレートで、パターンパーサの値を利用する
14.8 フィルターとテンプレートで、パーサによる解析結果を利用する と同様に、パターンパー
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
237
サによる解析結果を用いることができます。そのためには、パーサに名称をつける必要があり
ます。その後、その名称をマクロとして、解析されたメッセージの値を参照するために使用する
ことができます。
< 例 >
アプリケーションが生成した次のようなログを解析するとします。"Transaction ： <type>. "ここ
で、<type>は、"refused"、"accepted"、"incomplete"等の、異なる値を持つ文字列です。こうい
ったメッセージを解析するには、以下のようなパターンを定義してください。
'Transaction： @ESTRING：：.@'
@ESTRING@パーサは、次のフルストップ文字が現れるまで、メッセージを解析します。解析結
果をフィルターや、ファイル名テンプレートで利用する場合は、パーサの名称をパターンに含め
ます。以下のようになります。
'Transaction：
@ESTRING@：TRANSACTIONTYPE：.@'
その後、このテンプレートを用いるログパスに、カスタムテンプレートを追加します。例えば、
"accepted"トランザクションを全て拾うようにするには、以下のようなカスタムフィルターを定義し
ます。
match ("accepted" value("TRANSACTIONTYPE"));
注記
ログ転送先またはログスペースにカスタムテンプレートを作成すれば、
上記のマクロを、データベースの列やファイル名テンプレートに用いる
ことができます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
238
15 SSB の RPC API
syslog-ng Store Box のバージョン 3.2 以降は、Remote-Prcedure Call Application Programming
Interface (RPC API)を使用して、アクセスすることができます。
SSB RPC API は、リモートアプリケーションから SSB のログスペースにアクセスしてクエリするこ
とを可能にします。実際には、HTTPS 上の RESTful プロトコルを使用した API にアクセスします。
これは、RESTful HTTPS クライアントにアクセスできるどんなプログラミング言語でも使用するこ
とができます。シェルコードのサンプルを API ドキュメントに掲載しています。
RPC API で SSB をアクセスすることの利点は以下です。
カスタムアプリや環境に統合
フレキシブルでダイナミックなサーチクエリ
15.1 RPC API を使用するための要件
RPC API を使用して SSB にアクセスするには、以下の要件を満たす必要があります。
認証された HTTPS 上の RESTful プロトコルを使用してアプライアンスをアクセスできる。
RPC 経由でアクセスするのに使用されるユーザアカウントは、全ログスペースにアクセス
できるサーチ権限を持っている、または、特定のログスペースの Access Control オプショ
ンにリストされたグループのメンバである。ユーザ権限の管理の詳細は、5.6.1 グループ
の権限を編集する をご参照ください。
15.2 RPC クライアントの要件
SSB をアクセスするクライアントアプリは以下の基準に従っている必要があります。
RESTful web API over HTTPS をサポート
複合型 object type を適切に扱える
サーチ結果を整形するため、JSON decoder を含んでいる
15.3 RPC API の説明書
SSB RPC API の説明書は、下記の URL から利用できます。
https://<ip-address-of-SSB>/api/1/documentation
この説明書は、public call（公開されている API）の詳細説明と例から成っています。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
239
16 SSB のトラブルシューティング
ここでは、ネットワークの問題を検知するツールと、コアファイルの収集方法及び SSB のシステ
ムログを確認する方法について説明していきます。
サーバールームで SSB アプライアンスを見つける必要がある場合、フロントパネルの識別ライト
を制御できる IPMI を利用することができます。syslog-ng Store Box SSB10000 では、
Basic Settings > System > Hardware information > Blink system identification lights へ移動し、
LED（SSB の前面パネルにあるディスクトレイの赤いランプ）を点滅させるため On をクリックして
ください。
16.1 ネットワークのトラブルシューティング
目的：
Troubleshooting メニューは、ネットワークに関連する問題の原因を探るためのさまざまな診断コ
マンドを提供します。SSB のログファイルも、この画面内に表示されます。詳細は、16.3 SSB 関
連のログを閲覧 をご参照ください。
図表 16.1 SSB におけるネットワークトラブルシューティング
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
240
以下のコマンドを発行できます。
ping：ネットワークの接続をテストするため、指定したホストにシンプルなメッセージをを
送信します。
traceroute：SSB から指定したホストに向けて、メッセージが到達するまでの全経路を表
示させます。ホスト間のメッセージがどのような経路で転送されているかを確認するため
に用います。
connect：指定したホストに、特定のポート番号経由で接続を試みます。ターゲットホスト
上のアプリケーションのサービスを利用できるかどうか確認するために用います。
上記コマンドを発行するための手順を説明します。
Step：
Step 1. Basic Settings > Troubleshooting の順にクリックします。
Step 2. Hostname 欄に、ターゲットとなるホストの IP アドレスを入力します。Connect コマンドの
場合は、Port 欄に、ターゲットポート番号も入力します。
Step 3. 診断をしたい項目のボタンをクリックします。
Step 4. ポップアップ ウィンドウに表示される結果をご確認ください。ログファイル確認の場合は、
別のブラウザ画面が立ち上がって表示されます。
16.2 システムの問題を解決するためのデータを収集する
何らかの理由でシステムクラッシュが発生した場合、SSB は、例えば syslog-ng や indexer などの
重要なソフトウェアコンポーネントに関するコアファイルを自動的に生成します。これらのファイル
は、問題解決に際し重要な手がかりを与えてくれるものです。コアファイルが生成されると、SSB
は、管理者に向けてアラートメールを送信し、またそのアラートが正しく送信されているかを確認す
るために、SNMP トラップを発生させます。(詳細は、4.6 SSB のシステム監視設定と、4.5 SNMP と
E メールアラートをご参照ください)システム監視が設定されていない場合は、Search > Log Alerts
の順にクリックし、アラートの履歴を確認してください。
生成されたコアファイルをダウンロードして一覧にするには、Basic Settings > Troubleshooting >
Management > Core files の順にクリックしてください。
デフォルトでは、コアファイルは 14 日で消去されます。この期間を変更するには、Basic Settings >
Management > Core files の順にクリックして、変更してください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
241
16.3 SSB 関連のログを閲覧
目的：
Troubleshooting メニューは、SSB のさまざまなコンポーネントが生成したログを確認するインタ
ーフェイスを提供します。SSB に接続されているホストから送信されたログメッセージの確認方
は、12 ログメッセージを閲覧 をご参照ください。
注記
パフォーマンス維持の観点から、2MB を超えるログファイルは、Web
インターフェイスには表示されません。ダウンロードしてください。
Step：
Step 1.
Basic Settings > Troubleshooting の順にクリックし、View log files タブをクリック
します。
Step 2.
Logtype プルダウンから、ログメッセージの種類を選択します。
SSB：SSB Web インターフェイスのログ
syslog：SSB ホストに蓄積されている全てのシステムログ
syslog-ng：組込まれている syslog-ng サーバーの内部メッセージ。この中には、
SSB に向けて転送されてきた syslog は含まれていません。
Step 3.
ログファイルをダウンロードするには、Download をクリックします。
リアルタイムで現在のログを監視するには、Tail をクリックします。
ログメッセージを表示させるには、View をクリックします。
Step 4.
本日より以前(7 日前まで可)のログメッセージを表示させるには、Day プルダウン
で曜日を選択し、View をクリックします。
注記
特定のホストあるいはプロセスのログメッセージのみを表示させたい場合、
Message 欄に、ホスト名またはプロセス名を入力します。
Message 欄は、全体的なフィルターとして機能します。キーワードまたは正規表
現を入力することで、それらにマッチしたログメッセージのみを抽出することが
可能です。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
242
16.4 エラーレポートのための、ログ及びシステム情報を収集する
目的：
サポートを行うに当たり、問題の原因などを追求する目的で、システムのステータス及びデバッ
ギングに関する情報の提供をお願いすることがあります。これらの情報は SSB 上で自動的に収
集され、ログファイル、設定ファイル、そしていろいろなシステム統計情報も、この中に含まれま
す。
注記
鍵のファイルやパスワード等、重要な情報は自動的にこれらのファイル群から除外されます。
Basic Settings > Management > Debug logging > Enable debug logs オプションは、ログ
メッセージの冗長性には影響を与えません。SSB Web インターフェイス上で発行された
コマンド履歴を、ログに追加するオプションです。
システムステータスの情報を収集するには、Basic Settings > Troubleshooting > System debug
の順にクリックし、Collect and save current system state info をクリックします。zip ファイルが生
成されるので、保存します。ファイル名は、debug_info-{ホスト名}YYYYMMDDHHMM の形式に
なります。
特定のエラーに関する情報を収集する方法を次に説明します。
Step：
Step 1.
Basic Settings > Troubleshooting > System debug の順にクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
243
図表 16.2 デバッグ情報の収集
Step 2.
Start をクリックします。
注記
デバッグモードに入ると、SSB のログレベルが上昇します。システムに負荷
がかかっている最中ですと、パフォーマンスが低下する恐れがあります。
Step 3.
エラーの原因となったイベントを再発生させます。(例：ある特定のホストからの
ログ受信)
Step 4.
Stop をクリックします。
Step 5.
Save the collected debug info をクリックし、生成された zip ファイルを保存します。
ファイル名は、
debug_info-{ホスト名}YYYYMMDDHHMM の形式です。
Step 6.
サポート担当者にファイルを送付します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
244
16.5 ステータス履歴と統計
SSB は、さまざまな統計情報やシステムデータ・パフォーマンスの履歴を、Basic Settings >
Dashboard のダッシュボード画面で表示します。ダッシュボードは、基本的にはシステム監視機
能の拡張機能です。システム監視機能は、現在の状況のみを表示しますが、ダッシュボードは、
システムパラメータのグラフや統計情報を作成します。
ダッシュボードは異なったモジュールから構成されています。全てのモジュールにおいて、当日
のシステムパラメータ履歴が表示されます。先週、先月、昨年、などもっと長い期間のグラフを
表示させたい場合は、Week、Month、Year などを選択します。グラフの上にマウスポインタをか
ざすと、グラフは拡大され、グラフに用いられている色の説明が表れます。
グラフ表示になっているそれぞれの統計を表形式で表示させるには、グラフの上をクリックしま
す。クリックするたびにグラフと表形式で交互に表示されます。
図表 16.3 ダッシュボード
以下のモジュールが、SSB のダッシュボードに表示されます。
syslog-ng：受信・処理済・ドロップされた syslog-ng の統計を表示します。
16.5.1 syslog-ng 統計情報のカスタム表示 も合わせてご参照ください。
Connected syslog peers：SSB に現在ログを送信しているホストの一覧。これらの値は、
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
245
Log > Options > Dashboard Statistics のページで設定された Sampling interval にもとづ
いて、周期的に更新されます。詳細は、16.5.1 syslog-ng 統計情報のカスタム表示 をご
参照ください。
syslog-ng statistics：受信しているログメッセージ件数を、メッセージ件数/秒で表示しま
す。注意： この表示された値は、最近 15 分間の平均値です。
Logspaces：ログスペースの容量。
注意： この表示情報は、10 分おきに最新に更新されます。
Memory：システムが使用しているメモリ領域
Disk：異なるパーティションにおけるファイルシステムの使用領域
CPU：CPU 使用率
Network connections：ネットワーク接続数
External interface：外部インターフェイスのトラフィック
Management interface：管理インターフェイスのトラフィック
Load average：システム負荷の平均値
Processes：稼働中のプロセス数
統計情報収集のオプション設定に関しては、13.6 統計収集のオプションをご参照ください。
syslog-ng 統計情報のカスタム表示
16.5.1
目的：
特定のソース、デスティネーション、またはホストにのみ関連する統計情報を取得する手順を説
明します。
Step：
Step 1.
Basic Settings > Dashboard > syslog-ng statistics の順にクリックします。
Step 2.
デスティネーションファイルの統計を取得するには、Search in プルダウンで、
destination を選択します。そして、デスティネーションの名前を、Search 欄に入力しま
す。デスティネーション名は、必ず ds で始まります。
特定のホストに関する統計情報であれば、Search in プルダウンで source を選択しま
す。次に、Search 欄に、IP アドレスあるいはホスト名を入力します。
Step 3.
Select resolution プルダウンで、表示させたい期間を選択します。
Step 4.
View graph をクリックします。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
246
16.6 SSB クラスターのトラブルシューティング
ここでは、ハイアベイラビリティモードに関連する問題の解決に役立つと思われる事項を説明して
いきます。
クラスターとそのノード、DRBD データストレージシステム、ハートビートインターフェイス
（設定されている場合）のステータスの説明については、16.6.1 SSB クラスターのステータ
スを理解 をご参照ください。
クラスターがダウンした場合の回復手順は、16.6.2 両方のノードがダウンした際の SSB の
リカバリー をご参照ください。
両ノードが同時に active となりスプリットブレイン状況になってしまった場合の解決方法は、
16.6.3 スプリットブレイン状況からのリカバリー をご参照ください。
ダウンしたノードを新しいアプライアンスに交換する手順は、16.6.4 SSB クラスターのノード
を交換 をご参照ください。
16.6.1
SSB クラスターのステータスを理解
ここでは、SSB クラスターとノード、DRBD データストレージシステム、ハートビートインターフェイ
ス（設定されている場合）のステータスを説明します。これらの情報は、Basic Settings > High
Availability ページに表示されています。
Status フィールドは、各ノードがお互いに正しく認識しているか、HA モードで動作できるように設
定されているかを表示します。各ノードのステータスは、Node HA Status フィールドに表示され
ます。次のステータスが表示されます。
Standalone: Standalone モードで動作している単独の SSB、または、クラスターへ変換され
ていないユニット（両ノードの Node HA status が standalone）。HA モードを有効にするには、
Convert to Cluster をクリックします。
HA: 2 台の SSB ノードは、HA モードで動作しています。両ノードとも Node HA status は HA
で, 両ノードとも Node HA UUID は同じです。
Broken: 2 台の SSB ノードは、HA モードで動作しています。両ノードとも Node HA status
は HA ですが、Node HA UUID が異なります。このような場合、サポート窓口まで連絡をお
願い致します。
Degraded: SSB は HA モードで動作していましたが、1 台のノードが見えなくなりました（例
えば、ブレークダウン、ネットワークから外れたなどが考えられます）。電源を入れる、再接
続、故障したノードを修理などの対応が必要です。
Degraded(Disk Failure): スレーブノードのハードディスクが動作しておらず、交換が必要で
す。このような場合、サポート窓口まで連絡をお願い致します。
Degraded Sync: 2 台の SSB ユニットが HA モードになり、ノード間でディスクの最初の同期
が進行しています。終了まで待つ必要があります。多くのデータがストアされている大きな
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
247
ディスクの場合、ディスクの同期に数時間掛かります。
Split brain: 2 台のノードがそれぞれ接続できなくなっており、両ノードがアクティブ（マスタ
ー）の可能性があります。
注記
データロスの危険があります。この場合、両ノードに利用可能なログメッセージ
がある可能性があるため、データロスを避けるため特別な対応が必要です。
詳細な手順は、16.6.3 スプリットブレイン状況からのリカバリー をご参照くださ
い。ノードをリブートやシャットダウンしないでください。
Invalidated: 1 台のノードのデータが同期ズレ（out-of-sync）の状態で、別ノードからのデ
ータで更新が必要です。通常このような状況は、スプリットブレインからの復旧中、DRBD
が手動で無効化（invalidate）されると発生します。
Converted: ノードをクラスターに変換（Convert to Cluster をクリック）後、または、HA モー
ドを有効（Join HA をクリック）にしてリブートする前の状態。
注記
HA クラスターのノードが、システムの起動中にお互いを見つけることができな
い問題が発生した場合、Basic Settings > High Availability に移動し、Make HA
IP permanent を選択します。これにより、ノードの HA インターフェイスの IP アド
レスが固定され、ノード間の HA 接続が遅い場合改善します。
DRBD status フィールドは、最新データ（SSB の設定情報、ログファイルなど）が SSB の両ノード
で利用可能かどうかを表示します。マスターノード（this node）は、データロスを避けるために、
いつも consistent の状態である必要があります。Inconsistent 状態は、ノード上のデータが最新
ではない状態を意味し、最新データを保持しているノードに同期する必要があります。
DRBD status フィールドは、また、SSB ノード間のディスクシステムの接続状態も表示します。
次のステータスが表示されます。
Connected: 両ノードは正常に機能しています。
Connected (Disk Failure): スレーブノードのハードディスクが正常に機能しておらず、交換
が必要です。サポート窓口まで連絡をお願い致します。
Invalidated: 1 台のノードのデータが同期ズレ（out-of-sync）の状態で、別ノードからのデ
ータで更新が必要です。通常このような状況は、スプリットブレインからの復旧中、DRBD
が手動で無効化（invalidate）されると発生します。
Sync source または Sync target: 1 台のノード（Sync target）は、他のノード（Sync
source）からデータをダウンロード中です。
データの同期中、進捗と残り時間が System monitor に表示されています。
警告
２ノードがデータを同期中、マスターノードのリブートやシャットダウンはしない
でください。どうしてもデータ同期中にマスターノードをシャットダウンしなけれ
ばならない場合、スレーブノードを先にシャットダウンし、それからマスターノー
ドにしてください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
248
Split brain： ２ノードがお互いに接続できなくなり、両ノードがアクティブ（マスター）になる
可能性があります。
警告
データロスの危険があります。この場合、両ノードに利用可能なログメッセージ
がある可能性があるため、データロスを避けるため特別な対応が必要です。
詳細な手順は、16.6.3 スプリットブレイン状況からのリカバリー をご参照くださ
い。
WFConnection: １つのノードが他のノードを待っています。ノード間の接続がまだ確立され
ていません。
リダンダント（冗長化）ハートビートインターフェイスが設定されている場合、そのステータスは
Redundant Heartbeat status フィールドに表示され、また、System monitor の HA > Redundant
フィールドにも表示されています。詳細は、6.2.3 冗長化ハートビートインターフェイスの設定 を
ご参照ください。
以下にステータスを説明します。
NOT USED： 冗長化ハートビートインターフェイスが設定されていない。
OK: 正常、各冗長化ハートビートインターフェイスが正常に動作しています。
DEGRADED-WORKING: ２つ以上の冗長化ハートビートインターフェイスが設定され、最
低、そのうちの１つが正常に動作しています。このステータスは、新しい冗長化ハートビー
トインターフェイスが設定されたが、SSB のノードがまだリスタートしていない場合にも表示
されます。
DEGRADED： 冗長化ハートビートインターフェイス間の接続が切れています。接続復旧
に向けて問題の調査が必要です。
INVALID: 冗長化ハートビートインターフェイスで問題が発生しています。サポート窓口ま
で連絡をお願いします。
16.6.2
両方のノードがダウンした際の SSB のリカバリー
目的：
両方のノードが同時にダウンしてしまうことも、ありえないとは言えません。(電源喪失時、など)
あるいは、スレーブノードはマスターノードが復旧する前にダウンしてしまうかもしれません。
SSB を正しくリカバリーさせる手順を説明します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
249
注記
バージョン 1.1.1 までは、クラスターの両ノードが同時に起動した場合、1.2.4.1 の
ハイアベイラビリティ IP アドレスを得た方がマスターノードとして機能しました。
Step：
Step 1.
電源ボタンを長押しして離し、SSB をインストールしたマシンの電源を落とします。
警告
データ喪失にご注意ください！SSB がシャットダウンしない場合は、電源ボタン
を 4 秒ほど押し続けてください。この手順を実行すると、それまでのアクティブな
ネットワーク接続は全て切断され、データを喪失する恐れがあります。
Step 2.
SSB がダウンする以前にマスターノードだったマシンに、先に電源を入れます。どち
らのノードがマスターだったかは、システムログをみればわかります。
SSB は、マスターとしてブートする時やフェイルオーバーが発生した時、マスターノー
ドから識別子とともにログメッセージを送信します。
ヒント
SSB に蓄積されているログにアクセスできない場合でも、SSB 自身のログメッ
セージをリモートサーバーに転送するように設定することは可能です。リモート
ログ転送に関して詳細は、4.5 SNMP と E メールアラートをご参照ください。
Step 3.
マスターノードのブートが終了するまで待ちます。
Step 4.
もう一つのノードの電源を入れます。
16.6.3
スプリットブレイン状況からのリカバリー
目的：
スプリットブレイン状況は、クラスター間のネットワークリンクが切断されてしまい、両方ともマス
ターノードとして稼動しようとしてしまうことから発生します。転送されてきたログメッセージなど
の新たなデータは、もう片方のノードへデータが複製されず、両ノードに蓄積します。したがって
双方がそれぞれデータを蓄積していってしまい、あとで併合することは容易ではなくなります。
警告
データ喪失にご注意ください！スプリットブレイン状況下では、重要なデータ
が、両ノードに存在する可能性があり、データを喪失しないよう、特に慎重な対
処が必要です。
SSB のクラスターを構成しているノードは、再接続がされた際に自動的にスプリットブレイン状況
を検知します。また、データ喪失を防ぐため、データ同期は行われません。スプリットブレイン状
況が検知された際は、SSB の system monitor 画面ならびにシステムログ上(Split-Brain
detected, dropping connection!)で確認できます。そしてアラートを送信します。
スプリットブレイン状況からのリカバリー方法を説明していきます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
250
警告
ノードを決してシャットダウンしないでください。
Step：
Step 1. Basic Settings > System > Service control > Syslog traffic, indexing & search の順にク
リックし、Disable をクリックし、ログ転送等、現在アクティブなトラフィックを一時的に止め
ます。
Web インターフェイスからの操作が不能、あるいは不安定な場合は、以下の手順に従っ
てください。
Step a.
ローカルコンソール、あるいは SSH で、SSB に root でログインします。
Step b.
Shells > Core Shell の順に押下し、"syslog-ng stop" コマンドを投入して
syslog-ng を停止します。
Step c.
"date"コマンドを投入し、システム日付と時刻が正しいかを確認します。もし不
正確な場合は、システムのバッテリーを交換してください。詳細は、ハードウェ
アのマニュアルをご参照ください。
Step d.
他のノードに関し、上記ステップを繰り返します。
Step 2. データ修復のためのオプション手順： SSB のノードに蓄積されたログスペースを確認し
ます。
Step a.
ローカルコンソールから SSB のノードにログインします。
Step b.
Shells > Core Shell の順に押下します。"cd /opt/ssb/var/logspace" コマンド
を投入します。ログスペースは、このディレクトリ下に配置されています。
Step c.
スプリットブレイン状況が検知されてから、どのログファイルに変更が加えられ
たか探します。
Step 3. どのノードが、この後のマスターになるべきかを決定し、これからスレーブになるべきノー
ドで以下のオペレーションを実施します。
Step a.
ローカルコンソールから root でログインします。
Step b.
データ修復のためのオプション手順： スプリットブレイン状況が発生して以降、
修正が加えられたログメッセージをバックアップします。
警告
上記ログファイルは、スプリットブレイン状況が解消された際には自動的に削
除されます。オフラインで使用している場合を除いては、SSB のデータベース
にこのデータを戻す方法はありません。
Step c.
データ修復のためのオプション手順： Exit とタイプして、コンソールメニュー
に戻ります。
Step d.
Shells > Boot shell の順にクリックします。もし、スレーブになる｢べき｣ノードが
まだスレーブになっていない場合は、下記コマンドを投入して手動でフェイル
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
251
オーバーを行います。
# /usr/share/heartbeat/hb_standby
Step e.
コアファームウェアを、以下のコマンドで停止します。
# /etc/init.d/boot-xcb stop
Step f.
DRBD を、以下のコマンドで無効にします。
# /sbin/drbdsetup /dev/drbd0 disconnect
# /sbin/drbdsetup /dev/drbd0 invalidate
Step 4. スレーブになるべきノードを再起動します。
Step 5. マスターになるべきノードを再起動します。これにより、SSB のクラスターは以前
の通り機能し始めます。
Step 6. 双方のノードが立ち上がると、SSB クラスターは"Degraded Sync"ステータスに
なります。これは、マスターノードが"Sync Source"、スレーブノードが"Sync Target"にな
っている状態です。マスターノードは、スレーブノードとのデータ同期を始めます。データ
の量によりますが、これには長時間かかります。同期の速度を調節するには、
6.2.1 DRBD の同期速度の調整 をご参照ください。
16.6.4
SSB クラスターのノードを交換
目的：
SSB クラスターのユニットを交換する場合は、以下の手順に従って下さい。
Step：
Step 1.
Basic Settings > High Availability をクリックし、ワーキングノードの HA ステータ
スを確認してください。もし、１つのノードがダウンあるいは、消失していた場合、
Status フィールドは、DEGRADED. を表示します。
Step 2.
Heartbeat と Next hop monitoring インターフェイスの IP アドレスをメモしてくださ
い。
Step 3.
フルシステムバックアップを実行してください。ノードを交換する前に、ワーキン
グノードの完全なシステムバックアップを作成してください。詳細については、セ
クション 4.7 データと設定のバックアップ をご参照ください。
Step 4.
ワーキングノードでどのファームウェアバージョンが使用されているか確認して
ください。Basic Settings > System > Version details を選択し、正確なバージョ
ン番号をメモしてください。
Step 5.
ワーキングノードと同じ SSB バージョンの ISO ファイルを入手してください。弊社
までご連絡ください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
252
Step 6.
交換するユニットをネットワークへ接続しないで、交換するユニットに ISO ファイ
ルからインストールしてください。必要であれば、IPMI インターフェイスを使用し
てください。
Step 7.
インストレーションが完了したら、4 または HA とラベルされたイーサネットコネク
タを使用し、イーサネットケーブルで２つの SSB ユニットを接続してください。
Step 8.
交換するユニットをリブートし、起動完了するまで待ちます。
Step 9.
ワーキングノードにログインし、HA ステートを確認します。
Basic Settings > High Availability を選択します。Status フィールドは HALF を表
示しているはずです。
Step 10. Heartbeat と Next hop monitoring インターフェイスの IP アドレスを再設定し、
をクリックします。
Step 11. Other node > Join HA.をクリックします。
Step 12. Other node > Reboot をクリックします。
Step 13. 交換するユニットはリブートし、ワーキングノードからデータを同期しはじめます。
Basic Settings> High Availability > Status フィールドは同期が完了するまで、
DEGRADED SYNC を表示します。ハードディスクのサイズ、ストアされたデータ
量に依存して、この作業には数時間かかります。
Step 14. 同期が完了しましたら、必要であれば、他のイーサネットケーブル
(1 or EXT、2 or MGMT)を接続してください。
期待される結果：
SSB クラスターのノードは新しい機器に交換されます。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
253
16.7 SSB の設定情報とデータのリストア
目的：
SSB の設定情報とデータをバックアップからリストアする方法を説明します。これは、ハードウェ
アを交換した後などに必要となります。
Step：
Step 1.
バックアップ サーバーに接続し、SSB がバックアップをセーブしたディレクトリに
アクセスできるようにします。設定情報のバックアップは、config サブディレクト
リにタイムスタンプされたファイルとして保管されています。最新の設定情報ファ
イル（コンフィグレーションファイル：SSB-timiestamp.config 形式）を見つけてくだ
さい。
Step 2.
SSB へ接続します。
Welcome Wizard を終了していない場合、Browse（参照）をクリックし、設定情報
ファイルを選択し、Import（インポート）をクリックします。
Welcome Wizard を終了している場合、Basic Settings > System > Import
configuration > Browse（参照）を順にクリックし、設定情報ファイルを選択、
Import をクリックします。
Step 3.
Policies > Backup & Archive/Cleanup を順にクリックして移動します。ターゲット
サーバーの設定とバックアップのプロトコルが正しいことを確認します。
Step 4.
Basic Settings > Management > System backup を順にクリックし移動し、
Restore now をクリック、処理が終了するのを待ちます。バックアップのデータ量
とバックアップ サーバーとの接続速度に応じて、時間が掛かる場合がありま
す。
Step 5.
Log > Spaces に移動し、Restore All をクリックします。バックアップのデータ量と
バックアップ サーバーとの接続速度に応じて、時間が掛かる場合があります。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
254
付録1 syslog-ng Store Box ハードウェアインストレーションガイド
付録1.1
SSB ハードウェアのセットアップ
この章では、syslog-ng Store Box (SSB)ハードウェアをセットアップする方法を案内します。
ハードウェア詳細についてのドキュメントは、 BalaBit Hardware Documentation page
(http://www.balabit.com/support/documentation) にて入手できます。
※ ハードウェア部品等の詳細、名称等は、変更される可能性があります。
目的：
ここでは、SSB をシングルでセットアップする方法を案内します。
Step：
Step 1.
SSB を開梱します。
Step 2.
（オプションのステップ）SSB をスライドレールとともにラックに設置します。
Step 3.
ケーブルの接続。
Step a.
1 とラベル表示されたイーサネットコネクタに LAN 側のイーサネットケーブルを
接続します。これは、SSB の外部インターフェイスで SSB の設定に使用されま
す。（詳細は、2.5 ネットワークインターフェイス をご参照ください）
Step b.
SSB ハードウェアをリモートサポートするために SSB の IPMI インターフェイスに、
イーサネットケーブルを接続します。詳細については、以下のドキュメントを参
照してください。
Onboard BMC/IPMI ユーザガイドは、BalaBit Hardware Documentation page.
にあります（英語）。
警告
電源コードを差し込む前に IPMI に接続してください。そうしないと、IPMI がフェイ
ルすることになります。
インターネットから IPMI インターフェイスにアクセスできるようにすることは必須
ではありません。しかし、SSB 管理者はベンダーサポートが必要になった場合
は、サポートとトラブルシューティングのために、アクセスできなければなりませ
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
255
ん。次のポートが IPMI で使用されます。
■ Port 623 (UDP): IPMI (変更不可)
■ Port 5123 (UDP): floppy (変更不可)
■ Port 5901 (TCP): video display (変更可)
■ Port 5900 (TCP): HID (変更可)
■ Port 5120 (TCP): CD (変更可)
■ Port 80 (TCP): HTTP (変更可)
IPMI インターフェイスからのみ入手できる情報にアクセスすることは、必須では
ありませんが、サポートとトラブルシューティングプロセスをスピードアップする
ために、強く推奨します。
Step c.
（オプションのステップ）初期設定完了後 SSB を管理するために、2 とラベル表
示されたイーサネットコネクタ（これはマネージメント用のインターフェイスです）
にイーサネットケーブルを接続します。(それぞれのインターフェイスの役割の詳
細については、2.5 ネットワークインターフェイスをご参照ください。)
Step d.
（オプションのステップ）4 とラベル表示されたイーサネットコネクタに他の SSB ノ
ー ド へ イ ー サ ネ ッ ト ケ ー ブ ル を 接 続 し て く だ さ い 。 こ れ は 、 SSB の high
availability(HA)インターフェイスです。(それぞれのインターフェイスの役割の詳
細については、2.5 ネットワークインターフェイスをご参照ください。)
Step 4.
ハードウェアをパワーオンしてください。
Step 5.
syslog-ng Store Box の BIOS と IPMI パスワードを変更してください。（BalaBit から出
荷時のデフォルトパスワードは ADMIN/changeme
Step 6.
です。）
ブート後、SSB は DHCP より自動的に IP アドレスを受け取ろうとします。これが失敗する
と、IP アドレス 192.168.1.1 で HTTPS 接続のリスニングを開始します。他の IP アドレス
で接続するように SSB を設定するには、次の手順を実施します。
Step a.
ローカルコンソールから SSB をアクセスし、
username が root、password が default でログインします。
Step b.
Console Menu で、Shells > Core shell を選択します。
Step c.
SSB の IP アドレスを変更します。
ifconfig eth0 <IP-address> netmask 255.255.255.0
<IP-address>の部分を使用する IP アドレスに変更してください。
Step d.
次のコマンドで、デフォルトゲートウェイを設定します。
route add default gw <IP-of-default-gateway>
<IP-of-default-gateway>の部分を使用する IP アドレスに変更してください。
Step e.
Step 7.
exit と入力し、Console Menu から Logout を選択します。
クライアント端末から SSB web インターフェイスに接続し、Welcome Wizard （3 ウェルカ
ムウィザードと最初のログイン で説明されている）の設定を終了してください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
256
付録1.2
２つの SSB ユニットを HA モードで設定する
目的：
ここでは、High availability サポート用に、SSB をセットアップする方法を案内します。
Step：
Step 1. 最初の SSB ユニットを、付録 1.1 SSB ハードウェアのセットアップのステップ１から最後ま
での手順にしたがってセットアップします。
Step 2. ２つ目の SSB ユニットを付録 1.1 SSB ハードウェアのセットアップのステップ１からステッ
プ３までの手順にしたがってセットアップします。
Step 3. ２つのユニットを 4 とラベル表示されたイーサネットコネクタに、
イーサネットケーブルを接続します。
Step 4. ２つ目のユニットをパワーオンします。
Step 5. ２つ目のユニットの BIOS と IPMI のパスワードを変更します。
BalaBit から出荷時のデフォルトパスワードは ADMIN/changeme です。
Step 6. クライアント端末から、最初のユニットの SSB web インターフェイスに接続し、Basic
Settings > High Availability に進み、Convert to Cluster をクリックし、web ブラウザで、
ページをリロードしてください。
Step 7. Reboot Cluster をクリックします。
Step 8. スレーブユニットが、そのディスクをマスターユニットに同期するまでお待ちください。
ハードディスクサイズに依存し、この作業には、数時間かかる場合があります。SSB web
インターフェイスの Basic Settings > High Availability > DRBD sync rate limit にて、同期
スピードを速くすることが可能です。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
257
付録2 VMware 環境での syslog-ng Store Box
インストレーションガイド
この章では、syslog-ng Store Box (SSB) 4 LTS を VMware ESXi サーバーに仮想アプライアンス
としてインストールする際に実現できることと制限されることについて説明します。
付録2.1
VMware 環境での SSB の制限
VMware の環境では、以下のような制限があります。
次の VMware バージョンに SSB をインストールできます。
・ VMware ESXi 4.0 or later（以降）
・ VMWare ESX 4.0 or later（以降）
・ VMware ESXi 5.0 or later（以降）
SSB は、インストレーション中に仮想ホストに割り当てた固定のディスク容量のみを
使用できます。オンデマンドでディスクを割り当てることはできません。仮想ディスク
のサイズを増加するには、付録 2.3 VMware で仮想ディスクサイズを変更 をご参照く
ださい。
ハイアベイラビリティ（High Availability）モードはサポートされません。
ハードウェアに関するアラートや SSB のステータスインジケーターが不正確な情報を
表示することがあります。例；RAID ステータス Degraded 表示 等
付録2.2
VMware ESXi/ESX に SSB をインストールする
目的：
ここでは、VMware ESXi または ESX に SSB をインストールする手順について説明します。
Step：
Step 1. 以下の設定で、SSB の仮想マシンを作成します。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
258
ゲスト OS には、一覧より、Linux/Ubuntu 64bit を選択してください。
仮想マシンにメモリを割り当てます。ＳＳＢはログスペースのインデックス用メモリに
加えて、最少 1GiB のメモリが必要です。推奨メモリサイズは環境に依存しますが、
以下を考慮して下さい。
• 基本システムに 256MiB が必要です。
• SSB 上で稼動する syslog-ng サーバーが 128MiB～1GiB 程度のメモリを消費し
ます。消費するメモリ量はメッセージの負荷と SSB の設定に依存します。
• SSB はログスペースごとに受信メッセージのインデックスを作成するためのメ
モリを消費します。インデクサ（インデックス付け）に割り当てるメモリの量は、
ログスペースごとに個別に設定できます。
ハードディスクコントローラは LSI Logic Parallel を使用します。
ハードディスクに RAID は使用しないでください。代わりに仮想環境のデータ複写の
機能を利用してください。これにより、システムとしては、シングルのハードディスク
で十分です。SSB に組み込まれている RAID 機能をどうしても使用したい場合、2 台
のハードディスクを使用してください。そうすると SSB は自動的にソフト RAID を使用
します。
警告
データロスの危険あり！SSB を仮想環境にインストールや再インストールする
場合、新しいハードディスクを作成してください。既存のハードディスクを使用す
ると、予期しない振る舞いや動作問題の原因になります。
SSB は単一の固定サイズのディスクを使用します。
• 基本システムに 5GB ほど要求され、残りのディスク容量はデータを保存するた
めに使用されます。以下のディスクサイズ（単位は GB）の中から 1 つを選んで
使用します。
8, 12, 68, 160, 230, 250, 465, 500, 925, 1029, 2053, 3077, 4101, 4645, 5125, 6149,
7173, 8197, 9205
• ディスクサイズを増加するには、付録 2.3 VMware で仮想ディスクサイズを変更
をご参照ください。
SSB は、4 枚のネットワークカードが必要で、全て、E1000 にする必要があります。
Step 2. 仮想マシンの作成後、マシン設定を修正します。以下のオプションを設定します：
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
259
Step a.
Options > VMware Tools から Shutdown、Suspend、Reset オプションを有効に
します。有効にしないと、SSB の管理者は SSB の Web インターフェイスからこ
れらの機能にアクセスできません。
Step b.
Options > Boot options から Force BIOS Setup オプションを有効にします。こ
のオプションを有効にすると、SSB をインストールする前にシステム時間をチェ
ックする（そして必要であれば修正する）ことができます。
Step 3. syslog-ng Store Box インストール ISO ファイルを入手する必要があります。弊社までご
連絡ください。
Step 4. SSB のインストレーション ISO イメージをマウントして仮想マシンを起動します。画面上の
指示に従って SSB をインストールします。
付録2.3
VMware で仮想ディスクサイズを変更
SSB は、仮想ホストへ割り当てられた固定ディスク領域のみを使用することができます。仮想デ
ィスクのサイズを大きくする必要がある場合、次の手順を実施してください。
Step 1. システムのフルバックアップ（設定とデータのバックアップ）を作成します。
詳細は、4.7 データと設定のバックアップ をご参照ください
Step 2. 仮想マシンを電源断します。
Step 3. ストレージサイズを大きくします。
Step 4. SSB を再インストールします。
Step 5. システムをフルバックアップからリストアします。詳細は、16.7 ＳＳＢの設定情報とデータ
のリストア をご参照ください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
260
用語集
alias IP
すでに IP アドレスを持つインターフェイスに割り当てられる追加の
（エイリアス IP）
IP アドレス。通常の IP アドレスとエイリアス IP アドレスは、両方とも
同じ物理インターフェイスを参照する。
auditing policy
Windows が稼動しているホストに対し、どのイベントを監査対象と
（監査ポリシー）
するかを定義するポリシー。
authentication
ネットワークシステムやサービスへのアクセスを許可する前にユー
（認証）
ザまたはクライアントの認証を検証する処理。
BSD-syslog protocol
RFC3164 The BSD syslog Protocol に記載されている古いシスロ
（BSD-シスログプロトコル）
グプロトコルの規格。レガシーシスログプロトコルとして参照される
こともある。
CA
Certificate Authority（認証局）の略。証明書を発行する機関。
（認証局）
certificate
一意に所有者を識別するファイル。証明書は所有者の識別情報、
（証明書）
公開鍵、証明書の有効期限、証明書に署名した CA 名などのデー
タを含む。
client mode
クライアントモードでは、syslog-ngはホストで作成されたローカル
（クライアントモード）
ログを収集し、ネットワーク接続からsyslog-ngセントラルサーバー
またはリレーに、収集したログをフォワードする。
destination
ログメッセージが保存されているログスペース、リモートデータベ
（宛先）
ース、またはサーバー。
destination driver
例えば、リモートサーバーやハードディスクなどの宛先に、
syslog-ngがログメッセージを送るために使用する通信方法。
destination, remote
ネットワーク接続を使って、リモートホスト（つまりsyslog-ngリレー、
またはサーバー）にログメッセージを送る宛先。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
261
destination, local
ログメッセージをログスペースに転送する宛先。
disk buffer
syslog-ngのプレミアムエディションは、セントラルログサーバー
（ディスクバッファ）
や、サーバーへのネットワーク接続が利用できない場合、ローカ
ルハードディスクにメッセージを保管することができる。
disk queue
disk buffer（ディスクバッファ）をご参照下さい。
（ディスクキュー）
domain name
ネットワークの名前。例えば、balabit.com。
（ドメイン名）
External network interface
（EXTとラベルされた）外部インターフェイスは、クライアントとサー
（外部ネットワークインター
バーの一般通信で使用される。
フェイス）
｢管理インターフェイス｣(後述)が設定されていない場合は、この外
部インターフェイスが管理インターフェイスをもかねます。
filter
フィルターで設定された条件と一致するログメッセージのみをソー
スから選択する。
ｆirmware
SSB 上で稼動するソフトウェアコンポーネントの集合体。ファーム
（ファームウェア）
ウェア全体のアップグレードは可能だが、ファームウェアを構成す
る個々のソフトウェアコンポーネントを SSB 上でアップグレードする
ことはできない。SSB には external（外部）ファームウェア（または
boot（ブート）ファームウェア）と internal（内部）ファームウェア（また
は core（コア）ファームウェア）の２つのファームウェアがある。この
２つのファームウェアはそれぞれ別にアップグレードすることがで
きる。
gateway
例えば、ローカルイントラネットと外部ネットワーク（インターネット）
（ゲートウェイ）
など、２箇所以上のネットワークを接続するデバイス。ゲートウェイ
は、他のネットワークへの入り口としての役割を果たす。
High Availability
ハイアベイラビリティ(HA)モードでは、１つ目の SSB ユニット（マス
（ハイアベイラビリティ）
ターノード）が機能を停止した場合でもサービスを利用できるよう
に、２つ目のユニット（スレーブノード）も動作する。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
262
host
ネットワークに接続されているコンピューター。
（ホスト）
hostname
ネットワーク上でホストを特定するための名前。ホスト名には、英
（ホスト名）
数字（A-Z, a-z, 0-9）とハイフン（-）のみ使用できる。
HA network interface
SSB クラスターノード間の通信のための（HA ラベル付きの）インタ
（HA ネットワークインターフ
ーフェイス。
ェイス）
IETF-syslog protocol
Internet Engineering Task Force(IETF)が開発した標準のシスログ
（IETF シスログプロトコル）
プロトコル。RFC 5424 の The BSD syslog Protocol をご参照下さ
い。
key pair
秘密鍵とそれに関連する公開鍵。秘密鍵は所有者のみが知って
（鍵ペア）
いる。公開鍵は自由に配布できる。秘密鍵で暗号化された情報
は、公開鍵を使わないと復号化することができない。
LDAP
Lightweight Directory Access Protocol の略。TCP/IP 上でディレク
トリサービスを使用してデータの検索と修正を行うためのアプリケ
ーションプロトコル。
log path
送信元、フィルター、パーサ、リライトルール、宛先の組み合わせ。
（パス）
syslogng-ng は、パスの送信元に届くすべてのメッセージを検査し
て、すべてのフィルターに合致するメッセージを指定の宛先に送信
する。
logstore
ログメッセージを暗号化、署名、圧縮そしてタイムスタンプすること
（ログストア）
ができる、バイナリログファイル形式で蓄積されたログ保存領域。
log source host
SSB にログを送るホストかネットワークデバイス（syslog-ng クライ
（ログの発生元の装置）
アントとリレーを含む）。ログソースホストは、サーバー、ルータ、デ
スクトップコンピューター、またはシスログメッセージを送ったり、
syslog-ng を起動したりできるその他のデバイスなどがあります。
LSH
log source host をご参照ください。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
263
Management network
管理インターフェイス(MGMT ラベル付)は、SSB と監査者、または
interface
SSB と管理者の間の通信に限って使用される。
（管理インターフェイス）
master node
SSB を High Availability（ハイアベイラビリティ）モードで使用してい
（マスターノード）
る時にアクティブな SSB マシン。
name server
ドメイン名に相当する IP アドレスを保存するネットワークコンピュー
（ネームサーバー）
ター。
node
High Availability（ハイアベイラビリティ）モードで起動している SSB
（ノード）
ユニット。
output buffer
宛先がすぐにメッセージを受け取ることができない場合、syslog-ng
（出力バッファー）
が送信ログメッセージを保存するホストのメモリの一部。
output queue
出力キューからのメッセージはターゲット syslog-ng サーバーに送
（出力キュー）
られる。出力キューが満杯ではない限り、syslog-ng アプリケーショ
ンは、出力キューに送信メッセージを直接加える。出力キューは
64 メッセージまで保存することができる。これは固定値で、変更す
ることはできない。
overflow queue
output buffer をご参照ください。
（オーバーフローキュー）
ping
ネットワーク上でホストから別のホストにメッセージを送るコマンド
で接続性とパケットロスをテストする。
port
送信されたデータの宛先アプリケーションを識別する 1 から 65535
（ポート）
までの数字。例えば、SSH は通常ポート 22 を使用し、Web サーバ
ー(HTTP)はポート 80 を使用する。
Public-key authentication
ユーザあるいはクライアントの identity（身元）確認のために暗号
（公開鍵認証）
化された鍵ペアを使用する認証方式。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
264
redundant Heartbeat
冗長 Heartbeat（ハートビート）インターフェイスは SSB デバイスの
interface
既存のインターフェイスを使用する仮想インターフェイス。HA モー
（冗長 Heartbeat（ハートビ
ドにおける、SSB クラスターの他のノードが正常な状態であること
ート）インターフェイス）
を検出する。仮想インターフェイスはノード間のデータを同期させ
るためには使用されず、Heartbeat（ハートビート）メッセージだけが
転送される。
regular expression
正規表現は一連の文字列を説明したり、一致させたりする文字
（正規表現）
列。syslog-ng アプリケーションは拡張された正規表現（POSIX（新
しい正規表現）と呼ばれることもある）をサポートしている。
relay mode
リレーモードでは、syslog-ng は syslog-ng クライアントからネットワ
（リレーモード）
ークを通じてログを受信し、ネットワーク接続を使用して中央
syslog-ng サーバーに受信したログをフォワードする。
SSB
syslog-ng Store Box の略。
slave node
マスターが利用できなくなった際にアクティブユニット(マスターノー
（スレーブノード）
ド)に置き換わる、普段はスタンバイ中の SSB ユニット。
source
SSB のシスログメッセージの受信方法。
（ソース）
source, network
ネットワーク接続を使用してリモートホストからログメッセージを受
（ソース、ネットワーク）
信するソース。UDP、TCP、TLS は、BSD シスログプロトコルと IETF
シスログプロトコルをサポートしています。
source, local
SSB からローカル環境でログメッセージを受信するソース。
（ソース、ローカル）
source driver
ログメッセージを受信するために使用される通信方法。
（ソース、ドライバー）
SNMP
Simple Network Management Protocol(SNMP)はネットワーク管理
で使用される業界標準プロトコル。SSB はリモートホストからの
SNMP メッセージの受信、それらの syslog メッセージへの変換、そ
してリモートホストに対しての SNMP トラップ送信が可能。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
265
split brain
スプリットブレイン状況は何らかの理由（例： ノード間の接続喪失)
（スプリットブレイン）
により SSB クラスターの両ノードがアクティブ（マスター）になってし
まう状況。新しいデータ（例： ログメッセージ）が他のノードに対し
て複製を作ることなしに両ノード上に作成される原因となる可能性
がある。そのため、この状況では併合できない２つの異なるデータ
のセットが作成される可能性がある。
syslog-ng
syslog-ng アプリケーションは柔軟で拡張性の高いシステムロギン
グアプリケーションである。一般にはログメッセージを管理やログ
の一元管理するために使用される。
syslog-ng agent
Windows の syslog-ng エージェントは、Microsoft Windows プラット
フォーム用のログ収集・ログ転送アプリケーションである。Windows
ホストのログメッセージを収集し、SSL で暗号化も可能な TCP 接続
を使用して、SSB にログメッセージをフォワードする。
syslog-ng client
クライアントモードで syslog-ng を実行しているホスト。
syslog-ng Premium Edition
syslog-ng プレミアムエディションはオープンソースアプリケーション
の商用バージョンである。暗号メッセージの転送、Microsoft
Windows プラットフォーム用のエージェントといった追加の機能を
提供する。
syslog-ng relay
リレーモードで syslog-ng を実行しているホスト。
syslog-ng server
SSB のようにサーバーモードで syslog-ng を実行しているホスト。
TLS
Transport Layer Security (TLS)とその先行版の、Secure Sockets
Layer (SSL)は、インターネット上で安全な通信を提供する暗号プ
ロトコル。syslog-ng アプリケーションは機密ログメッセージへの不
正アクセスを防ぐために、TLS を使用してクライアントとサーバー
間の暗号化通信を可能にする。
template
ログメッセージの再構築やファイル名の自動作成に使用すること
ができるユーザ定義構造。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
266
Traceroute
2 つのホスト間で全てのルーティングステップ（メッセージのパス）
を表すコマンド。
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
267
日本語マニュアル改定日 2015 年 5 月 25 日
本マニュアル原文は『The syslog-ng Store Box 4 LTS Administrator Guide
Publication date February 05, 2015』です
ジュピターテクノロジー株式会社 技術グループ
BalaBit syslog-ng Store Box 4.0
Rev. 1.0
© Copyright 2024 ExpyDoc
